Часть operations определяет, какие операции, выполняемые процессом, вызывают срабатывание индикатора. Если значение не задано, индикатор срабатывает, когда процесс генерирует событие.
Операции определяются с помощью элемента operation с атрибутом type и элемента expression.
<operation type="WriteFile">Expression</operation>
Все операции поддерживают следующие компоненты.
•
DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
BitsJobAddFile
Файл был добавлен в задание BITS.
Поддерживаемые компоненты:
• BitsJobAddFile
Возвращает сведения о задании BITS.
Свойство
|
Тип
|
Описание
|
Пример
|
FileCount
|
Int
|
Количество файлов, добавленных в задание.
|
1
|
JobTitle
|
String
|
Отображаемое имя задания BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Локальный путь назначения для файла.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
Исходный URL-адрес или удаленный путь к файлу.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Какая группа (тип её SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Учетная запись, которая владеет заданием или создала его.
|
|
UserSid
|
String
|
Идентификатор безопасности (SID) учетной записи.
|
|
Поддерживаемые операции
•BitsJobAddFile |
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
CodeInjection
Процесс подвергся той или иной форме внедрения кода.
Поддерживаемые компоненты:
• ClientProcessInfo
ClientProcessInfo доступна только в сочетании с операциями WmiExecution, WmiQuery и CodeInjection, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь к выполнению ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore, чтобы увеличить значение на заданную величину. При достижении порогового значения оценки риска запускается действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается по истечении определенного периода времени, по умолчанию — 6 часов.
|
1000
|
Поддерживаемые операции
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Для событий CodeInjection он сообщает информацию об используемой технике внедрения кода.
Свойство
|
Тип
|
Описание
|
Пример
|
CodeInjectionType
|
Symbol
|
Используемая техника внедрения кода
|
Возможные значения:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Поддерживаемые операции
•CodeInjection |
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• Предприятие
Предоставляет статистику о модулях в отслеживаемой сети.
Поддерживаемые операции
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — это превентивная система, которая собирает информацию об угрозах от пользователей по всему миру. База данных ESET LiveGrid® содержит сведения о репутации потенциальных угроз. Репутация исполняемых файлов помогает фильтровать результаты правила.
Свойство
|
Тип
|
Описание
|
Пример
|
Age
|
Int
|
Количество дней с момента первого появления исполняемого файла в ESET LiveGrid®. Количество округляется до эквивалента недели, месяца, полугода, года и т. д.
|
|
Reputation
|
Int
|
Число на шкале репутации. Чем выше, тем больше доверия
|
Возможные значения:
•9, 8 — Доверенный
•7, 6 — ОК
•5, 4 — Рискованно
•3 — потенциально нежелательное приложение, неизвестно (не обнаружено системой ESET LiveGrid)
•2, 1 — Вредоносное ПО |
Popularity
|
Int
|
Количество компьютеров, на которых система ESET LiveGrid® обнаружила исполняемый файл. Оно округляется до таких чисел, как 10, 100, 1000, 10000 и т. д. Вредоносное ПО обычно не превышает показатель популярности 1000, пока не будет обнаружено.
|
|
|
|
Нельзя полагаться на значения ESET LiveGrid® для новых исполняемых файлов. Даже самый популярный и доверенный исполняемый файл (например, установщик новой версии Google Chrome) в течение некоторого времени после выпуска имеет низкую популярность и неизвестную репутацию.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Вернуть информацию о текущем модуле
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней с момента признания файла подозрительным (nearmiss).
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — эмулировалось
|
FileDescription
|
String
|
Из сведений о версии, описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0—RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии — внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен (common name) из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии, название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Имя программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted— Подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле нет подписи
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present— подпись присутствует, но статус сертификата неизвестен
•50—Unknown—Не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если есть
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла белый список не применяется
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков могут измениться в будущем. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Возвращает информацию о текущем процессе.
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь к выполнению ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore для увеличения значения на заданную величину. При достижении порогового значения оценки риска запускается действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается по истечении определенного периода времени, по умолчанию — 6 часов.
|
1000
|
SentBytes
|
Int
|
Общее количество байтов, отправленных процессом.
|
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Возвращает информацию о текущем процессе службы.
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь запуска ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore, чтобы увеличить значение на заданную величину. При достижении порогового значения оценки риска активируется действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается через определенный период времени, по умолчанию через 6 часов.
|
1000
|
SentBytes
|
Int
|
Общее количество байтов, отправленных процессом.
|
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
CreateNamedPipe
Создан именованный канал.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
CreateProcess
Создан процесс.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• Предприятие
Предоставляет статистику о модулях в отслеживаемой сети.
Поддерживаемые операции
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — это превентивная система, которая собирает информацию об угрозах от пользователей по всему миру. База данных ESET LiveGrid® содержит сведения о репутации потенциальных угроз. Репутация исполняемых файлов помогает фильтровать результаты правила.
Свойство
|
Тип
|
Описание
|
Пример
|
Age
|
Int
|
Количество дней с момента первого появления исполняемого файла в ESET LiveGrid®. Количество округляется до эквивалента недели, месяца, полугода, года и т. д.
|
|
Reputation
|
Int
|
Число на шкале репутации. Чем выше, тем больше доверия
|
Возможные значения:
•9, 8 — Доверенный
•7, 6 — ОК
•5, 4 — Рискованно
•3 — потенциально нежелательное приложение, неизвестно (не обнаружено системой ESET LiveGrid)
•2, 1 — Вредоносное ПО |
Popularity
|
Int
|
Количество компьютеров, на которых система ESET LiveGrid® обнаружила исполняемый файл. Оно округляется до таких чисел, как 10, 100, 1000, 10000 и т. д. Вредоносное ПО обычно не превышает показатель популярности 1000, пока не будет обнаружено.
|
|
|
|
Нельзя полагаться на значения ESET LiveGrid® для новых исполняемых файлов. Даже самый популярный и доверенный исполняемый файл (например, установщик новой версии Google Chrome) в течение некоторого времени после выпуска имеет низкую популярность и неизвестную репутацию.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Вернуть информацию о текущем модуле
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней с момента признания файла подозрительным (nearmiss).
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — эмулировалось
|
FileDescription
|
String
|
Из сведений о версии, описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0—RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии — внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен (common name) из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии, название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Имя программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted— Подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле нет подписи
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present— подпись присутствует, но статус сертификата неизвестен
•50—Unknown—Не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если есть
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла белый список не применяется
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков могут измениться в будущем. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Возвращает информацию о текущем процессе.
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь к выполнению ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore для увеличения значения на заданную величину. При достижении порогового значения оценки риска запускается действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается по истечении определенного периода времени, по умолчанию — 6 часов.
|
1000
|
SentBytes
|
Int
|
Общее количество байтов, отправленных процессом.
|
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Возвращает информацию о текущем процессе службы.
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь запуска ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore, чтобы увеличить значение на заданную величину. При достижении порогового значения оценки риска активируется действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается через определенный период времени, по умолчанию через 6 часов.
|
1000
|
SentBytes
|
Int
|
Общее количество байтов, отправленных процессом.
|
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
DeleteFile
Файл удален.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
DeleteVolumeShadowCopy
Теневая копия тома была удалена.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• VolumeShadowCopyInfo
Возвращает сведения о создании теневых копий и существующих снимках резервных копий.
Свойство
|
Тип
|
Описание
|
Пример
|
OriginalVolumeName
|
String
|
Имя тома, для которого была создана теневая копия
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Имя компьютера, содержащего исходный том
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Имя поставщика, использованного для создания теневой копии
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Имя системы, предоставляющей службу теневого копирования (обычно совпадает с исходным компьютером при локальном резервном копировании)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Путь к устройству, представляющий снимок тома. Путь объекта устройства можно рассматривать как корень теневой копии тома. Инициаторы запросов будут использовать это имя устройства при доступе к файлам на томе с теневой копией, с которым им необходимо работать.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Поддерживаемые операции
•DeleteVolumeShadowCopy |
DnsRequest
Был выполнен DNS-запрос (обычно IP > домен, домен > IP).
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DnsInfo
DnsInfo со следующими свойствами:
Свойство
|
Тип
|
Описание
|
Пример
|
DnsQuery
|
String
|
Запрос DNS
|
www.google.com
|
DnsQueryLength
|
Int
|
Длина запроса DNS
|
100
|
DnsResponseIpAddressV4
|
Набор IPv4-адресов
|
Записи A в ответе DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Набор адресов IPv6
|
Записи AAAA в ответе DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Набор строк
|
Записи NS, CNAME, PTR или TXT в ответе DNS
|
mobile-google.com
|
DnsResponseType
|
Набор символов
|
Типы записей, присутствующих в ответе DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
Общая длина ответа DNS
|
100
|
Для свойства DnsResponseType существует предопределенный набор значений, которые можно использовать (без учета регистра):
Дополнительные сведения о значениях DnsResponseType см. в разделе ТИПЫ записей ресурсов (RR).
Условия, поддерживаемые для типов наборов (Набор адресов IPv4, Набор адресов IPv6, Набор строк, Набор символов), перечислены в таблице Типы свойств & связи в разделе набор значений.
Пример
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Поддерживаемые операции
•DnsRequest |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
HttpRequest
Был выполнен HTTP-запрос.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• Сеть
Возвращает информацию о сетевых событиях
Свойство
|
Тип
|
Описание
|
Пример
|
DestinationIpAddressV4
|
Ipv4-Адрес
|
Ipv4 Адрес назначения обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Адрес
|
Адрес Ipv6 назначения для обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Имя целевого хоста.
Поддерживается только с событиями TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Подключение является входящим
|
true/false
|
IpAddressV4
|
Ipv4-Адрес
|
Целевой Ipv4 адрес события. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Адрес
|
Целевой Ipv6 адрес события. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Целевой порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол, используемый соединением
|
HTTP, HTTPS и т.д.
|
SourceIpAddressV4
|
Ipv4-Адрес
|
Адрес источника Ipv4 обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Адрес
|
Адрес источника Ipv6 обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Если запрос содержал URL-адрес (т. е. запрос HTTP)
Поддерживается для HTTP-запросов и обнаружений.
|
Целевой URL-адрес
|
Пример
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
LoadDLL
Загружена библиотека DLL.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• Предприятие
Предоставляет статистику о модулях в отслеживаемой сети.
Поддерживаемые операции
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — это превентивная система, которая собирает информацию об угрозах от пользователей по всему миру. База данных ESET LiveGrid® содержит сведения о репутации потенциальных угроз. Репутация исполняемых файлов помогает фильтровать результаты правила.
Свойство
|
Тип
|
Описание
|
Пример
|
Age
|
Int
|
Количество дней с момента первого появления исполняемого файла в ESET LiveGrid®. Количество округляется до эквивалента недели, месяца, полугода, года и т. д.
|
|
Reputation
|
Int
|
Число на шкале репутации. Чем выше, тем больше доверия
|
Возможные значения:
•9, 8 — Доверенный
•7, 6 — ОК
•5, 4 — Рискованно
•3 — потенциально нежелательное приложение, неизвестно (не обнаружено системой ESET LiveGrid)
•2, 1 — Вредоносное ПО |
Popularity
|
Int
|
Количество компьютеров, на которых система ESET LiveGrid® обнаружила исполняемый файл. Оно округляется до таких чисел, как 10, 100, 1000, 10000 и т. д. Вредоносное ПО обычно не превышает показатель популярности 1000, пока не будет обнаружено.
|
|
|
|
Нельзя полагаться на значения ESET LiveGrid® для новых исполняемых файлов. Даже самый популярный и доверенный исполняемый файл (например, установщик новой версии Google Chrome) в течение некоторого времени после выпуска имеет низкую популярность и неизвестную репутацию.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Вернуть информацию о текущем модуле
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней с момента признания файла подозрительным (nearmiss).
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — эмулировалось
|
FileDescription
|
String
|
Из сведений о версии, описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0—RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии — внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен (common name) из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии, название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Имя программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted— Подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле нет подписи
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present— подпись присутствует, но статус сертификата неизвестен
•50—Unknown—Не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если есть
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла белый список не применяется
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков могут измениться в будущем. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Возвращает информацию о текущем процессе.
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь к выполнению ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore для увеличения значения на заданную величину. При достижении порогового значения оценки риска запускается действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается по истечении определенного периода времени, по умолчанию — 6 часов.
|
1000
|
SentBytes
|
Int
|
Общее количество байтов, отправленных процессом.
|
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Возвращает информацию о текущем процессе службы.
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь запуска ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore, чтобы увеличить значение на заданную величину. При достижении порогового значения оценки риска активируется действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается через определенный период времени, по умолчанию через 6 часов.
|
1000
|
SentBytes
|
Int
|
Общее количество байтов, отправленных процессом.
|
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
LoadDriver
Загружен драйвер или модуль ядра.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Модуль
Вернуть информацию о текущем модуле
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней с момента признания файла подозрительным (nearmiss).
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — эмулировалось
|
FileDescription
|
String
|
Из сведений о версии, описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0—RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии — внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен (common name) из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии, название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Имя программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted— Подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле нет подписи
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present— подпись присутствует, но статус сертификата неизвестен
•50—Unknown—Не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если есть
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла белый список не применяется
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков могут измениться в будущем. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
ModuleDrop
Исполняемый файл был сброшен.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• Предприятие
Предоставляет статистику о модулях в отслеживаемой сети.
Поддерживаемые операции
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — это превентивная система, которая собирает информацию об угрозах от пользователей по всему миру. База данных ESET LiveGrid® содержит сведения о репутации потенциальных угроз. Репутация исполняемых файлов помогает фильтровать результаты правила.
Свойство
|
Тип
|
Описание
|
Пример
|
Age
|
Int
|
Количество дней с момента первого появления исполняемого файла в ESET LiveGrid®. Количество округляется до эквивалента недели, месяца, полугода, года и т. д.
|
|
Reputation
|
Int
|
Число на шкале репутации. Чем выше, тем больше доверия
|
Возможные значения:
•9, 8 — Доверенный
•7, 6 — ОК
•5, 4 — Рискованно
•3 — потенциально нежелательное приложение, неизвестно (не обнаружено системой ESET LiveGrid)
•2, 1 — Вредоносное ПО |
Popularity
|
Int
|
Количество компьютеров, на которых система ESET LiveGrid® обнаружила исполняемый файл. Оно округляется до таких чисел, как 10, 100, 1000, 10000 и т. д. Вредоносное ПО обычно не превышает показатель популярности 1000, пока не будет обнаружено.
|
|
|
|
Нельзя полагаться на значения ESET LiveGrid® для новых исполняемых файлов. Даже самый популярный и доверенный исполняемый файл (например, установщик новой версии Google Chrome) в течение некоторого времени после выпуска имеет низкую популярность и неизвестную репутацию.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Вернуть информацию о текущем модуле
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней с момента признания файла подозрительным (nearmiss).
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — эмулировалось
|
FileDescription
|
String
|
Из сведений о версии, описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0—RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии — внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен (common name) из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии, название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Имя программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted— Подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле нет подписи
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present— подпись присутствует, но статус сертификата неизвестен
•50—Unknown—Не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если есть
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла белый список не применяется
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков могут измениться в будущем. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Поддерживаемые операции
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
MultipleFilesChanged
Процесс изменил несколько файлов.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• ProcessBehavior
ProcessBehavior события регистрируются в Windows. Защита от вирусов отслеживает, к каким файлам осуществлялся доступ и как часто. Если за определенный период времени процесс обратился к большему количеству файлов, чем задано в барьере, регистрируется соответствующее событие.
Свойство
|
Тип
|
Описание
|
Пример
|
FileOperations
|
String
|
Операции и их барьеры
|
Возможные значения:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Значения FileOperations являются внутренними и предназначены для использования только с правилами по умолчанию.
|
Поддерживаемые операции
•MultipleFilesChanged |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
OpenProcess
Добавлен новый атрибут правила, который срабатывает при открытии процесса. Отслеживается только открытый процесс lsass.exe.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Добавлен новый атрибут правила, который срабатывает при открытии процесса.
HIPS отправляет события OpenProcess только для lsass.exe и только с правами доступа к процессу PROCESS_VM_WRITE и/или PROCESS_VM_READ и только при вызове OpenProcess или DuplicateHandle (когда уже открытый процесс имеет упомянутые права доступа)
Свойство
|
Тип
|
Описание
|
Пример
|
AccessRight
|
Symbol
|
|
Возможные значения:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Пример
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Поддерживаемые операции
•OpenProcess |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
ReadFile
Срабатывает при чтении отслеживаемого файла. Отслеживаемыми считаются файлы, содержащие конфиденциальную информацию или сохраненные учетные данные, например сохраненные пароли браузеров, сохраненные пароли FTP-клиентов, базы данных AD и т. д.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
RegDeleteKey
Раздел реестра удален.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• RegistryItem
Возврат информации о событиях реестра.
Свойство
|
Тип
|
Описание
|
Пример
|
Key
|
Path
|
Путь к ключу, содержит имя значения (Value Name) ключа
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Длина значения ключа
|
16
|
StringValue
|
String
|
Значение строкового ключа
|
ЗначениеПримера
|
IntValue
|
Int
|
Значение ключа int
|
32
|
Пример
Для раздела реестра: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Поддерживаемые операции
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
RegDeleteValue
Значение реестра было удалено.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• RegistryItem
Возврат информации о событиях реестра.
Свойство
|
Тип
|
Описание
|
Пример
|
Key
|
Path
|
Путь к ключу, содержит имя значения (Value Name) ключа
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Длина значения ключа
|
16
|
StringValue
|
String
|
Значение строкового ключа
|
ЗначениеПримера
|
IntValue
|
Int
|
Значение ключа int
|
32
|
Пример
Для раздела реестра: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Поддерживаемые операции
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
RegRenameKey
Раздел реестра был переименован.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• RegistryItem
Возврат информации о событиях реестра.
Свойство
|
Тип
|
Описание
|
Пример
|
Key
|
Path
|
Путь к ключу, содержит имя значения (Value Name) ключа
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Длина значения ключа
|
16
|
StringValue
|
String
|
Значение строкового ключа
|
ЗначениеПримера
|
IntValue
|
Int
|
Значение ключа int
|
32
|
Пример
Для раздела реестра: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Поддерживаемые операции
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
RegSetValue
Раздел реестра был изменен.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• RegistryItem
Возврат информации о событиях реестра.
Свойство
|
Тип
|
Описание
|
Пример
|
Key
|
Path
|
Путь к ключу, содержит имя значения (Value Name) ключа
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Длина значения ключа
|
16
|
StringValue
|
String
|
Значение строкового ключа
|
ЗначениеПримера
|
IntValue
|
Int
|
Значение ключа int
|
32
|
Пример
Для раздела реестра: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Поддерживаемые операции
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
RenameFile
Файл был переименован.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
•
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
ScheduledTaskAdded
Добавлена запланированная задача.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Возвращает информацию о запланированной задаче.
Свойство
|
Тип
|
Описание
|
Пример
|
Boundary
|
Date
|
Временные ограничения для расписания: начало/окончание, часовой пояс и окно/правила повторения.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Указывает, активна ли запланированная задача и будет ли она выполняться по расписанию.
|
true/false
|
Location
|
String
|
Путь в дереве планировщика заданий Microsoft, начиная с узла "Библиотека планировщика заданий"
|
|
Name
|
String
|
Имя задачи
|
|
Type
|
Symbol
|
Тип операции запланированной задачи
|
Возможные значения:
•0—Create
•1—Unknown |
Поддерживаемые операции
•ScheduledTaskAdded |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
Scripts
Был выполнен сценарий, раскрытый интерфейсом AMSI.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• Сценарии
Компонент Scripts позволяет создавать правила на основе свойств выполняемого скрипта, предоставляемых AMSI.
Свойство
|
Тип
|
Описание
|
Script
|
String
|
Сценарий, полученный ESET PROTECT через интеграцию с AMSI
|
ScriptLength
|
Int
|
Длина скрипта (количество символов)
|
ScriptSha1
|
Hash
|
Хеш SHA1 фрагмента скрипта
|
ScriptSha256
|
Hash
|
Хеш SHA256 фрагмента скрипта
|
Пример
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Поддерживаемые операции
•Scripts |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
ServiceInstalled
Служба установлена.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Служба
Компонент "Служба" позволяет создавать правила на основе свойств служб Windows и событий управления службами, предоставляемых Диспетчером керування службами (SCM).
Свойство
|
Тип
|
Описание
|
Пример
|
LoadType
|
Symbol
|
Тип запуска службы
|
Возможные значения:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Внутреннее имя службы, зарегистрированное в диспетчере управления службами (SCM)
|
|
Type
|
Int
|
Указывает тип службы, зарегистрированной в SCM
|
Возможные значения:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Поддерживаемые операции
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
ServiceStarted
Служба была запущена.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Служба
Компонент "Служба" позволяет создавать правила на основе свойств служб Windows и событий управления службами, предоставляемых Диспетчером керування службами (SCM).
Свойство
|
Тип
|
Описание
|
Пример
|
LoadType
|
Symbol
|
Тип запуска службы
|
Возможные значения:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Внутреннее имя службы, зарегистрированное в диспетчере управления службами (SCM)
|
|
Type
|
Int
|
Указывает тип службы, зарегистрированной в SCM
|
Возможные значения:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Поддерживаемые операции
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
SetFileAttribute
Установлен атрибут файла.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileAttribute
События FileAttribute в настоящее время регистрируются только в Linux. Правило срабатывает при установке атрибута, например, с помощью команды chmod.
Свойство
|
Тип
|
Описание
|
Пример
|
Attribute
|
Symbol
|
Атрибут файла
|
Возможные значения:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Поддерживаемые операции
•SetFileAttribute |
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
SystemApiCall
Была вызвана системная функция.
Поддерживаемые компоненты:
• ApiCall
Возвращает информацию о вызовах API.
Свойство
|
Тип
|
Описание
|
Пример
|
ApiName
|
Symbol
|
Имя API, вызываемого процессом
|
Поддерживаемые значения:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Только для Linux
Пример
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Поддерживаемые операции
•SystemApiCall |
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
TcpIpAccept
Входящее TCP/IP-соединение принято.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• Сеть
Возвращает информацию о сетевых событиях
Свойство
|
Тип
|
Описание
|
Пример
|
DestinationIpAddressV4
|
Ipv4-Адрес
|
Ipv4 Адрес назначения обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Адрес
|
Адрес Ipv6 назначения для обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Имя целевого хоста.
Поддерживается только с событиями TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Подключение является входящим
|
true/false
|
IpAddressV4
|
Ipv4-Адрес
|
Целевой Ipv4 адрес события. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Адрес
|
Целевой Ipv6 адрес события. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Целевой порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол, используемый соединением
|
HTTP, HTTPS и т.д.
|
SourceIpAddressV4
|
Ipv4-Адрес
|
Адрес источника Ipv4 обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Адрес
|
Адрес источника Ipv6 обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Если запрос содержал URL-адрес (т. е. запрос HTTP)
Поддерживается для HTTP-запросов и обнаружений.
|
Целевой URL-адрес
|
Пример
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
TcpIpConnect
Установлено исходящее TCP/IP-соединение.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• Сеть
Возвращает информацию о сетевых событиях
Свойство
|
Тип
|
Описание
|
Пример
|
DestinationIpAddressV4
|
Ipv4-Адрес
|
Ipv4 Адрес назначения обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Адрес
|
Адрес Ipv6 назначения для обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Имя целевого хоста.
Поддерживается только с событиями TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Подключение является входящим
|
true/false
|
IpAddressV4
|
Ipv4-Адрес
|
Целевой Ipv4 адрес события. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Адрес
|
Целевой Ipv6 адрес события. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Целевой порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол, используемый соединением
|
HTTP, HTTPS и т.д.
|
SourceIpAddressV4
|
Ipv4-Адрес
|
Адрес источника Ipv4 обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Адрес
|
Адрес источника Ipv6 обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Если запрос содержал URL-адрес (т. е. запрос HTTP)
Поддерживается для HTTP-запросов и обнаружений.
|
Целевой URL-адрес
|
Пример
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
TcpIpProtocolIdentified
Поверх TCP/IP-соединения описывает используемый протокол.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• Сеть
Возвращает информацию о сетевых событиях
Свойство
|
Тип
|
Описание
|
Пример
|
DestinationIpAddressV4
|
Ipv4-Адрес
|
Ipv4 Адрес назначения обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6-Адрес
|
Адрес Ipv6 назначения для обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Имя целевого хоста.
Поддерживается только с событиями TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Подключение является входящим
|
true/false
|
IpAddressV4
|
Ipv4-Адрес
|
Целевой Ipv4 адрес события. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
IpAddressV6
|
Ipv6-Адрес
|
Целевой Ipv6 адрес события. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Целевой порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол, используемый соединением
|
HTTP, HTTPS и т.д.
|
SourceIpAddressV4
|
Ipv4-Адрес
|
Адрес источника Ipv4 обнаружения файерволом. Поддерживает маски.
|
192.168.0.1, поддерживает маски - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6-Адрес
|
Адрес источника Ipv6 обнаружения файерволом. Поддерживает маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, поддерживает маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Если запрос содержал URL-адрес (т. е. запрос HTTP)
Поддерживается для HTTP-запросов и обнаружений.
|
Целевой URL-адрес
|
Пример
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
TruncateFile
Файл был усечён.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
UnloadDriver
Драйвер или модуль ядра был выгружен.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
UserActivate
Пользователь активирован.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
Пользователь добавлен в группу.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
То же, что и UserLogonData, но со свойствами для данных о группах.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип её SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Создан новый пользователь.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
Пользователь был отключен.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
Пользователь выполнил вход.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
События, связанные с действиями пользователя (создание пользователя, вход в систему и т. д.), а также информация об этих событиях.
Свойство
|
Тип
|
Описание
|
Пример
|
Hostname
|
String
|
Имя компьютера, с которого была выполнена попытка входа в систему
|
|
IpAddressV4
|
Ipv4-Адрес
|
IPv4-адрес компьютера, с которого была выполнена попытка входа в систему
|
|
IpAddressV6
|
Ipv6-Адрес
|
IPv6-адрес компьютера, с которого была предпринята попытка входа в систему
|
|
LogonType
|
Symbol
|
Тип входа
|
Возможные значения:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Порт источника, который использовался при попытке входа с удаленного компьютера
|
|
Поддерживаемые операции
•UserLogin
•UserLogout |
UserLogout
Пользователь вышел из системы.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
События, связанные с действиями пользователя (создание пользователя, вход в систему и т. д.), а также информация об этих событиях.
Свойство
|
Тип
|
Описание
|
Пример
|
Hostname
|
String
|
Имя компьютера, с которого была выполнена попытка входа в систему
|
|
IpAddressV4
|
Ipv4-Адрес
|
IPv4-адрес компьютера, с которого была выполнена попытка входа в систему
|
|
IpAddressV6
|
Ipv6-Адрес
|
IPv6-адрес компьютера, с которого была предпринята попытка входа в систему
|
|
LogonType
|
Symbol
|
Тип входа
|
Возможные значения:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Порт источника, который использовался при попытке входа с удаленного компьютера
|
|
Поддерживаемые операции
•UserLogin
•UserLogout |
UserRemove
Пользователь был удален.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
Пользователь удален из группы.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• DoneByUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• TargetUser
Пользователь, который стал целью атаки.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип ее SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
То же, что и UserLogonData, но со свойствами для данных о группах.
Свойство
|
Тип
|
Описание
|
Пример
|
Sid
|
String
|
Какой пользователь (SID учетной записи) стоит за данным событием
|
|
SidNameUse
|
Symbol
|
Какая группа (тип её SID) стоит за данным событием
|
Группы:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Какой пользователь (имя учетной записи) стоит за данным событием
|
|
Поддерживаемые операции
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Выполнено событие из VirtualDiskMount.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
WmiExecution
Сработало событие выполнения инструментария управления Windows (WMI).
Поддерживаемые компоненты:
• ClientEnterprise
ClientEnterprise доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
Age
|
Int
|
Количество дней с момента первого появления исполняемого файла в ESET LiveGrid®. Количество округляется до эквивалента недели, месяца, полугода, года и т. д.
|
|
Reputation
|
Int
|
Число на шкале репутации. Чем выше, тем больше доверия
|
Возможные значения:
•9, 8 — доверенный
•7, 6 — ОК
•5, 4 — Рискованно
•3 — потенциально нежелательное приложение, неизвестно (не обнаружено системой ESET LiveGrid)
•2, 1 — Вредоносное ПО |
Popularity
|
Int
|
Количество компьютеров, на которых система ESET LiveGrid® обнаружила исполняемый файл. Оно округляется до таких чисел, как 10, 100, 1000, 10000 и т. д. Вредоносное ПО обычно не превышает показателя популярности в 1000 до момента его обнаружения.
|
|
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней, прошедших с момента, когда файл был распознан как nearmiss.
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — Эмулировалось
|
FileDescription
|
String
|
Из сведений о версии — описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0 — RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии, внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии — название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Название программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted — подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле отсутствует подпись
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present — Подпись присутствует, но состояние сертификата неизвестно
•50—Unknown — не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если таковое имеется
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла нет белого списка
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков в будущем могут измениться. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & связи в разделе набор значений.
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo доступна только в сочетании с операциями WmiExecution, WmiQuery и CodeInjection, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь к выполнению ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore, чтобы увеличить значение на заданную величину. При достижении порогового значения оценки риска запускается действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается по истечении определенного периода времени, по умолчанию — 6 часов.
|
1000
|
Поддерживаемые операции
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• WmiExecutionInfo
Событие выполнения инструментария управления Windows (WMI) возникает только при вызове метода WMI Win32_process.create().
Свойство
|
Тип
|
Описание
|
ClassName
|
String
|
Класс, содержащий триггерный метод
|
ClientMachineFQDN
|
String
|
Полное доменное имя клиентского компьютера
|
CommandLine
|
String
|
Командная строка, передаваемая методу в виде списка аргументов
|
IsLocal
|
Bool
|
Определяет, был ли метод вызван локально или удаленно
|
MethodName
|
String
|
Метод, который был вызван
|
Пример
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Поддерживаемые операции
•WmiExecution |
WmiPersistence
Событие создается, когда потребитель выполняет привязку к фильтру.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• WmiPersistenceInfo
Событие создается, когда потребитель выполняет привязку к фильтру.
Свойство
|
Тип
|
Описание
|
EventConsumerName
|
String
|
Имя потребителя, который запускает действие при поступлении определенного события
|
EventFilterName
|
String
|
Имя используемого EventFilter
|
Handler
|
String
|
Командная строка, выполненная потребителем событий
|
Query
|
String
|
Запрос в фильтре событий, который перехватывает события, требующие выполнения действия
|
TriggeringUserName
|
String
|
Имя пользователя, инициировавшего событие, отобранное фильтром
|
TriggeringUserSid
|
String
|
Активация идентификатора безопасности пользователя
|
TriggeringUserSidNameUse
|
Int
|
Активация типа SID пользователя
|
Пример
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Поддерживаемые операции
•WmiPersistence |
WmiQuery
На компьютере был выполнен запрос инструментария управления Windows (WMI).
Поддерживаемые компоненты:
• ClientEnterprise
ClientEnterprise доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
Age
|
Int
|
Количество дней с момента первого появления исполняемого файла в ESET LiveGrid®. Количество округляется до эквивалента недели, месяца, полугода, года и т. д.
|
|
Reputation
|
Int
|
Число на шкале репутации. Чем выше, тем больше доверия
|
Возможные значения:
•9, 8 — доверенный
•7, 6 — ОК
•5, 4 — Рискованно
•3 — потенциально нежелательное приложение, неизвестно (не обнаружено системой ESET LiveGrid)
•2, 1 — Вредоносное ПО |
Popularity
|
Int
|
Количество компьютеров, на которых система ESET LiveGrid® обнаружила исполняемый файл. Оно округляется до таких чисел, как 10, 100, 1000, 10000 и т. д. Вредоносное ПО обычно не превышает показателя популярности в 1000 до момента его обнаружения.
|
|
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule доступна только в сочетании с операциями WmiExecution и WmiQuery, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
AugurScore
|
Int
|
Оценка, присвоенная модулем машинного обучения ESET. Возможные значения: от 0 до 99
|
67
|
CompanyName
|
String
|
Из сведений о версии — название компании, выпустившей файл
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Количество дней, прошедших с момента, когда файл был распознан как nearmiss.
Nearmiss — обнаружение срабатывает из-за вредоносного ПО, но может оказаться ложным срабатыванием (мы не можем гарантировать, что это вредоносное ПО)
|
|
EmulationStatus
|
Int
|
Состояние эмуляции файла (если файл был эмулирован с помощью расширенной эвристики)
|
0 — эмуляция не выполнялась
1 — Эмулировалось
|
FileDescription
|
String
|
Из сведений о версии — описание файла, отображаемое пользователям
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлен через RDP
|
Возможные значения:
0 — RDP
|
FileSize
|
Int
|
Размер файла в байтах
|
41984
|
FileVersion
|
String
|
Из сведений о версии — номер версии файла
|
"10.0.14393.0"
|
InternalName
|
String
|
Из сведений о версии, внутреннее имя файла
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл представляет собой библиотеку DLL формата PE
|
true/false
|
IsElf
|
Bool
|
Файл является ELF-файлом
|
true/false
|
IsExe
|
Bool
|
Файл является исполняемым
|
true/false
|
IsMacho
|
Bool
|
Определяет, является ли файл файлом Mach-O (macOS) или нет
|
true/false
|
IsNative
|
Bool
|
Файл представляет собой нативный исполняемый файл PE
|
true/false
|
isPe
|
Bool
|
Файл представляет собой исполняемый файл Windows
|
true/false
|
MD5
|
Hash
|
md5 хэш исполняемого файла
|
|
MachoIsProtected
|
Bool
|
Модуль является защищенным исполняемым файлом Mach-O
|
|
MachoSignatureId
|
String
|
Идентификатор файла Mach-O, присутствующий в подписи
|
"com.apple.ls"
|
MachoSignerCns
|
Набор строк
|
Набор общих имен из сертификатов в файле Mach-O
|
|
MachoUserId
|
String
|
Уникальный идентификатор разработчика, присвоенный Apple
|
|
OriginalFileName
|
String
|
Из сведений о версии, исходное имя файла
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Имя программы-упаковщика
|
"UPX"
|
ProductName
|
String
|
Из сведений о версии — название продукта, с которым распространяется файл
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Из сведений о версии — номер версии продукта, с которым распространяется файл
|
"10.0.14393"
|
SFXName
|
String
|
Название программы-упаковщика sfx
|
"Zip"
|
Sha1
|
Hash
|
sha1 хэш исполняемого файла
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
sha256 хэш исполняемого файла
|
|
SignatureType
|
Symbol
|
Тип подписи исполняемого файла
|
Возможные значения:
•90—Trusted — подпись является доверенной для конечной точки
•80—Valid — подпись является доверенной для ОС
•75—Adhoc— Сертификат является самоподписанным
•70—None— В файле отсутствует подпись
•60—Invalid—Подпись недействительна/повреждена/отозвана
•50—Present — Подпись присутствует, но состояние сертификата неизвестно
•50—Unknown — не удалось проверить сертификат |
SignerName
|
String
|
Имя подписавшего, если таковое имеется
|
"Microsoft Windows"
|
Tags
|
String
|
Позволяет пользователю выполнять фильтрацию по модулю, к которому прикреплен указанный тег
|
|
Whitelist
|
Symbol
|
Тип белого списка исполняемого файла
|
Возможные значения:
•0—None—Для этого файла нет белого списка
•1—Authoritative — файл внесен в белый список конечной точкой
•2—LiveGrid — файл внесен в белый список ESET LiveGrid
•3—Certificate — сертификат файла внесен в белый список |
|
|
1Названия программ-упаковщиков в будущем могут измениться. Поэтому для условия рекомендуется использовать значение isnotempty или isempty.
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & связи в разделе набор значений.
Поддерживаемые операции
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo доступна только в сочетании с операциями WmiExecution, WmiQuery и CodeInjection, которые имеют клиентский процесс. Клиентский процесс — это процесс, который фактически выполнил метод инструментария управления Windows (WMI).
Свойство
|
Тип
|
Описание
|
Пример
|
CaseSensitiveCommandLine
|
String
|
Позволяет создавать правила для командной строки с учетом регистра
|
|
CommandLine
|
String
|
Командная строка процесса
|
file.txt
|
CommandLineLength
|
Int
|
Длина командной строки
|
123
|
Compromised
|
Bool
|
Процесс был помечен правилом как скомпрометированный с действием MarkAsCompromised
|
true/false или 1/0
|
IntegrityLevel
|
Symbol
|
Уровень целостности процесса.
|
Возможные значения:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Содержит путь к выполнению ярлыка
|
|
ProcessDistance
|
Int
|
Расстояние процесса от текущего процесса
|
123
|
ProcessLevel
|
Int
|
Глубина процесса в иерархии процессов
|
123
|
ProcessOwner
|
String
|
Пользователь, создавший процесс
|
|
RiskScore
|
Int
|
Оценка отслеживается для каждого процесса на конечной точке. Вы можете использовать действия IncreaseParentRiskScore или IncreaseRiskScore, чтобы увеличить значение на заданную величину. При достижении порогового значения оценки риска запускается действие KillParentProcess или KillProcess. Пороговое значение оценки риска можно указать в разделе Политика > ESET Inspect Connector > Дополнительные параметры. Оценка риска сбрасывается по истечении определенного периода времени, по умолчанию — 6 часов.
|
1000
|
Поддерживаемые операции
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
• WmiQueryInfo
События запроса инструментария управления Windows (WMI) возникают, когда пользователь или служба инициируют запрос в системе.
Свойство
|
Тип
|
Описание
|
ClientMachineFQDN
|
String
|
Полное доменное имя клиентского компьютера
|
IsLocal
|
Bool
|
Если значение ложно, запрос был вызван с удаленного компьютера (например, с помощью WbemTest)
|
Query
|
String
|
В системе был запущен запрос
|
Пример
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Поддерживаемые операции
•WmiQuery |
WriteFile
Была выполнена запись в файл.
Поддерживаемые компоненты:
• DateTime
Позволяет создавать правила, которые срабатывают только в заданное время.
Свойство
|
Тип
|
Описание
|
Пример
|
DayOfWeek
|
Int
|
Активировать правило только в определенные дни недели
|
Возможные значения:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Срабатывание правила только в определенные периоды суток. Возможные значения: от 0 до 23
|
12
|
Minute
|
Int
|
Срабатывание правила только в определенное время суток.
Возможные значения: от 0 до 59
|
30
|
Пример
Это правило срабатывает при каждом открытии Блокнота с понедельника по пятницу с 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Поддерживаемые операции
Компонент DateTime поддерживается всеми операциями.
|
• EnterpriseInspector
Предоставляет сведения о соединителе.
Свойство
|
Тип
|
Описание
|
Пример
|
VersionString
|
String
|
Строка версии коннектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основной номер версии коннектора.
|
1
|
VersionMinor
|
Int
|
Дополнительный номер версии соединителя.
|
9
|
BuildNumber
|
Int
|
Номер сборки Connector.
|
2385
|
Поддерживаемые операции
Компонент EnterpriseInspector поддерживается всеми операциями.
|
• FileItem
Возврат информации о текущем файле
Свойство
|
Тип
|
Описание
|
Пример
|
ADS
|
String
|
Часть ADS пути
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Расширение файла
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Имя файла с расширением файла
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Имя файла без расширения
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Путь к файлу, включая имя файла
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Длина имени
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Путь к файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Срабатывает, если операция выполняется файлом над самим собой (обычная практика для вредоносных программ — удалять самих себя)
|
true/false
|
Файл-предохранитель
Свойства пути имеют специальную переменную для файлов-предохранителей. Значение для указания пути к файлу-предохранителю — %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Поддерживаемые операции
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Информация о системе, из которой поступают события.
Свойство
|
Тип
|
Описание
|
Пример
|
isServer
|
Bool
|
Указывает, является ли система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архитектуры системы
|
Для соответствия 32-разрядной архитектуре используйте один из следующих вариантов:
•32
•32bit
•x86
•0
Для соответствия 64-разрядной архитектуре используйте один из следующих вариантов:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Какой тип операционной системы вызвал событие
|
Для сопоставления с системой Windows используйте один из следующих вариантов:
•Windows
•Win
•0
Для сопоставления системы MacOS используйте один из следующих способов:
•macOs
•macOsx
•Osx
•1
Для соответствия системе Linux используйте следующее:
•2 |
SystemVersion
|
String
|
Полная версия системы со старшим и младшим номерами
|
|
Tags
|
Набор строк
|
Теги, назначенные данной конкретной системе
|
|
Условия, поддерживаемые для типов наборов (набор адресов IPv4, набор адресов IPv6, набор строк, набор символов), перечислены в таблице Типы свойств & отношения в разделе набор значений.
Поддерживаемые операции
Компонент SystemInfo поддерживается всеми операциями.
|
|
|
Более ранние версии Windows не создают события инструментария управления Windows (WMI). Эта функция доступна начиная с Windows 10 версии 1803.
Некоторые события содержат лишь частичную информацию:
•События записи в файл — записывается только первое изменение файла (в расчёте на каждый процесс. Если два процесса изменяют один и тот же файл, регистрируются оба изменения)
•События, связанные с реестром, — записывается только первое изменение раздела реестра (первое изменение, выполненное процессом)
•DLLLoad — записываются только библиотеки DLL, не внесённые в белый список антивируса
•События TcpIp — записывается только первое подключение (первое обращение со стороны процесса)
•События HTTP — записывается только первый запрос (первый раз процессом)
•ModuleDrop (также известен как PEDrop) — регистрируется только при первом сбросе (drop) данного модуля (впервые на компьютере)
•AmsiTriggerEvent — записывается только первое выполнение (первый раз на компьютере) |
