Частина operations визначає виконувані процесом операції, які ініціюють індикатор. Якщо значення порожнє, індикатор ініціюється, коли процес генерує подію.
Операції визначаються за допомогою елемента операції з атрибутом type і елементом виразу.
<operation type="WriteFile">Expression</operation>
Указані нижче компоненти підтримуються всіма операціями.
•
DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
BitsJobAddFile
До завдання BITS додано файл.
Підтримувані компоненти:
• BitsJobAddFile
Повертає інформацію про завдання BITS.
Властивість
|
Тип
|
Опис
|
Приклад
|
FileCount
|
Int
|
Кількість файлів, доданих до завдання.
|
1
|
JobTitle
|
String
|
Відображувана назва завдання BITS.
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
Локальний шлях призначення для файлу.
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
URL-адреса джерела або віддалений шлях файлу.
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Обліковий запис, якому належить завдання або в якому його було створено.
|
|
UserSid
|
String
|
Ідентифікатор безпеки (SID) облікового запису.
|
|
Підтримувані операції
•BitsJobAddFile |
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
CodeInjection
До процесу було застосовано певну форму включення коду.
Підтримувані компоненти:
• ClientProcessInfo
ClientProcessInfo доступний тільки разом з операціями WmiExecution, WmiQuery й CodeInjection, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
Підтримувані операції
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
Для подій CodeInjection повертає інформацію про використовуваний спосіб включення коду.
Властивість
|
Тип
|
Опис
|
Приклад
|
CodeInjectionType
|
Symbol
|
Використовуваний метод включення коду
|
Можливі значення:
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
Підтримувані операції
•CodeInjection |
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• Корпоративне рішення
Надає статистику щодо модулів у відстежуваній мережі
Підтримувані операції
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — це система запобігання загрозам, яка збирає інформацію про них від користувачів з усього світу. База даних LiveGrid містить репутаційні відомості про потенційні загрози. Репутація виконуваних файлів допомагає фільтрувати результати правил.
Властивість
|
Тип
|
Опис
|
Приклад
|
Age
|
Int
|
Кількість днів, що минули з моменту фіксації відомостей про виконуваний файл у базі даних LiveGrid. Конкретна кількість днів округляється до еквівалента тижня, місяця, півріччя, року тощо.
|
|
Reputation
|
Int
|
Оцінка за шкалою репутації. Що вище, то більше довіри
|
Можливі значення:
•9, 8 — довірені
•7, 6 — звичайні
•5, 4 — ризикові
•3 — потенційно небажані програми, невідомі (не зафіксовані в базі даних ESET LiveGrid)
•2, 1 — шкідливе програмне забезпечення |
Popularity
|
Int
|
Кількість комп’ютерів, на яких система LiveGrid зафіксувала виконуваний файл. Конкретну кількість округляють до таких чисел, як 10, 100, 1000, 10000 тощо. Зазвичай шкідливе програмне забезпечення виявляється, коли його популярність перевищить 1000.
|
|
|
|
Не можна покладатися на значення LiveGrid для нових виконуваних файлів. Навіть найпопулярніший і надійний виконуваний файл (наприклад, інсталятор нової версії Google Chrome) має низьку популярність і невідому репутацію протягом деякого часу після свого випуску.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Повертає інформацію про поточний модуль.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0—RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Повертає інформацію про поточний процес.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
SentBytes
|
Int
|
Загальна кількість байтів, переданих процесом.
|
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Повернення інформації про поточний процес служби.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
SentBytes
|
Int
|
Загальна кількість байтів, переданих процесом.
|
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
CreateNamedPipe
Створено іменований канал pipe.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
CreateProcess
Створено процес.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• Корпоративне рішення
Надає статистику щодо модулів у відстежуваній мережі
Підтримувані операції
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — це система запобігання загрозам, яка збирає інформацію про них від користувачів з усього світу. База даних LiveGrid містить репутаційні відомості про потенційні загрози. Репутація виконуваних файлів допомагає фільтрувати результати правил.
Властивість
|
Тип
|
Опис
|
Приклад
|
Age
|
Int
|
Кількість днів, що минули з моменту фіксації відомостей про виконуваний файл у базі даних LiveGrid. Конкретна кількість днів округляється до еквівалента тижня, місяця, півріччя, року тощо.
|
|
Reputation
|
Int
|
Оцінка за шкалою репутації. Що вище, то більше довіри
|
Можливі значення:
•9, 8 — довірені
•7, 6 — звичайні
•5, 4 — ризикові
•3 — потенційно небажані програми, невідомі (не зафіксовані в базі даних ESET LiveGrid)
•2, 1 — шкідливе програмне забезпечення |
Popularity
|
Int
|
Кількість комп’ютерів, на яких система LiveGrid зафіксувала виконуваний файл. Конкретну кількість округляють до таких чисел, як 10, 100, 1000, 10000 тощо. Зазвичай шкідливе програмне забезпечення виявляється, коли його популярність перевищить 1000.
|
|
|
|
Не можна покладатися на значення LiveGrid для нових виконуваних файлів. Навіть найпопулярніший і надійний виконуваний файл (наприклад, інсталятор нової версії Google Chrome) має низьку популярність і невідому репутацію протягом деякого часу після свого випуску.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Повертає інформацію про поточний модуль.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0—RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Повертає інформацію про поточний процес.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
SentBytes
|
Int
|
Загальна кількість байтів, переданих процесом.
|
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Повернення інформації про поточний процес служби.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
SentBytes
|
Int
|
Загальна кількість байтів, переданих процесом.
|
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
DeleteFile
Файл видалено.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
DeleteVolumeShadowCopy
Видалено тіньову копію тому.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• VolumeShadowCopyInfo
Повертає інформацію про створення тіньових копій і наявні резервні знімки.
Властивість
|
Тип
|
Опис
|
Приклад
|
OriginalVolumeName
|
String
|
Назва тому, для якого було створено тіньову копію
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
Назва комп’ютера, на якому розміщено оригінальний том
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
Ім’я постачальника, який використовувався для створення тіньової копії
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
Назва системи, що надає послугу тіньового копіювання (у локальних резервних копіях зазвичай збігається з вихідним комп’ютером)
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
Шлях до об’єкта пристрою, що представляє знімок тому. Цей шлях можна розглядати як кореневу точку доступу до тіньової копії тому. Запитувачі використовують цю назву пристрою для доступу до потрібних їм файлів на тіньовій копії тому.
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
Підтримувані операції
•DeleteVolumeShadowCopy |
DnsRequest
Створено запит DNS (IP-адреса > доменне ім’я, доменне ім’я > IP-адреса).
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DnsInfo
DnsInfo має такі властивості:
Властивість
|
Тип
|
Опис
|
Приклад
|
DnsQuery
|
String
|
Запит DNS.
|
www.google.com
|
DnsQueryLength
|
Int
|
Довжина запиту DNS
|
100
|
DnsResponseIpAddressV4
|
Набір адрес IPv4
|
Записи A у відповіді DNS
|
216.58.201.67
|
DnsResponseIpAddressV6
|
Набір адрес IPv6
|
Записи AAAA у відповіді DNS
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
Набір рядків
|
Записи NS, CNAME, PTR або TXT у відповіді DNS
|
mobile-google.com
|
DnsResponseType
|
Набір символів
|
Типи записів, які містяться у відповіді DNS
|
HINFO
|
DnsResponsesLength
|
Int
|
Загальна довжина відповіді DNS
|
100
|
Властивість DnsResponseType має попередньо визначену область значень, які можна використовувати (без урахування регістру):
Щоб дізнатися більше про значення DnsResponseType, прочитайте статтю про типи записів ресурсу (RR).
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Приклад
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
Підтримувані операції
•DnsRequest |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
HttpRequest
Створено HTTP-запит.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• Мережа
Повертає відомості про мережеві події
Властивість
|
Тип
|
Опис
|
Приклад
|
DestinationIpAddressV4
|
Адреса Ipv4
|
Адреса призначення Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Адреса Ipv6
|
Адреса призначення Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Цільове ім’я хоста
Підтримується лише для подій TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Вхідне підключення
|
true/false
|
IpAddressV4
|
Адреса Ipv4
|
Цільовий об’єкт адреси Ipv4 події. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
IpAddressV6
|
Адреса Ipv6
|
Цільовий об’єкт адреси Ipv6 події. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Цільовий порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол підключення
|
HTTP, HTTPS тощо.
|
SourceIpAddressV4
|
Адреса Ipv4
|
Вихідна адреса Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
SourceIpAddressV6
|
Адреса Ipv6
|
Вихідна адреса Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Чи містить запит URL-адресу (тобто запит HTTP)
Підтримується для HTTP-запитів і виявлених об’єктів.
|
Цільова URL-адреса
|
Приклад
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Підтримувані операції
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
LoadDLL
Завантажено бібліотеку DLL.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• Корпоративне рішення
Надає статистику щодо модулів у відстежуваній мережі
Підтримувані операції
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — це система запобігання загрозам, яка збирає інформацію про них від користувачів з усього світу. База даних LiveGrid містить репутаційні відомості про потенційні загрози. Репутація виконуваних файлів допомагає фільтрувати результати правил.
Властивість
|
Тип
|
Опис
|
Приклад
|
Age
|
Int
|
Кількість днів, що минули з моменту фіксації відомостей про виконуваний файл у базі даних LiveGrid. Конкретна кількість днів округляється до еквівалента тижня, місяця, півріччя, року тощо.
|
|
Reputation
|
Int
|
Оцінка за шкалою репутації. Що вище, то більше довіри
|
Можливі значення:
•9, 8 — довірені
•7, 6 — звичайні
•5, 4 — ризикові
•3 — потенційно небажані програми, невідомі (не зафіксовані в базі даних ESET LiveGrid)
•2, 1 — шкідливе програмне забезпечення |
Popularity
|
Int
|
Кількість комп’ютерів, на яких система LiveGrid зафіксувала виконуваний файл. Конкретну кількість округляють до таких чисел, як 10, 100, 1000, 10000 тощо. Зазвичай шкідливе програмне забезпечення виявляється, коли його популярність перевищить 1000.
|
|
|
|
Не можна покладатися на значення LiveGrid для нових виконуваних файлів. Навіть найпопулярніший і надійний виконуваний файл (наприклад, інсталятор нової версії Google Chrome) має низьку популярність і невідому репутацію протягом деякого часу після свого випуску.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Повертає інформацію про поточний модуль.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0—RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
Повертає інформацію про поточний процес.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
SentBytes
|
Int
|
Загальна кількість байтів, переданих процесом.
|
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
Повернення інформації про поточний процес служби.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
SentBytes
|
Int
|
Загальна кількість байтів, переданих процесом.
|
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
LoadDriver
Завантажено драйвер або модуль ядра.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Модуль
Повертає інформацію про поточний модуль.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0—RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
ModuleDrop
Виконуваний файл було інстальовано дропером.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• Корпоративне рішення
Надає статистику щодо модулів у відстежуваній мережі
Підтримувані операції
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid — це система запобігання загрозам, яка збирає інформацію про них від користувачів з усього світу. База даних LiveGrid містить репутаційні відомості про потенційні загрози. Репутація виконуваних файлів допомагає фільтрувати результати правил.
Властивість
|
Тип
|
Опис
|
Приклад
|
Age
|
Int
|
Кількість днів, що минули з моменту фіксації відомостей про виконуваний файл у базі даних LiveGrid. Конкретна кількість днів округляється до еквівалента тижня, місяця, півріччя, року тощо.
|
|
Reputation
|
Int
|
Оцінка за шкалою репутації. Що вище, то більше довіри
|
Можливі значення:
•9, 8 — довірені
•7, 6 — звичайні
•5, 4 — ризикові
•3 — потенційно небажані програми, невідомі (не зафіксовані в базі даних ESET LiveGrid)
•2, 1 — шкідливе програмне забезпечення |
Popularity
|
Int
|
Кількість комп’ютерів, на яких система LiveGrid зафіксувала виконуваний файл. Конкретну кількість округляють до таких чисел, як 10, 100, 1000, 10000 тощо. Зазвичай шкідливе програмне забезпечення виявляється, коли його популярність перевищить 1000.
|
|
|
|
Не можна покладатися на значення LiveGrid для нових виконуваних файлів. Навіть найпопулярніший і надійний виконуваний файл (наприклад, інсталятор нової версії Google Chrome) має низьку популярність і невідому репутацію протягом деякого часу після свого випуску.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• Модуль
Повертає інформацію про поточний модуль.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0—RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Підтримувані операції
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
MultipleFilesChanged
Процес змінив кілька файлів.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• ProcessBehavior
Події ProcessBehavior фіксуються в ОС Windows. Антивірус відстежує, до яких файлів і як часто отримано доступ. Якщо за певний проміжок часу процес отримав доступ до більшої кількості файлів, ніж указано в налаштуванні бар’єра, ця подія записується.
Властивість
|
Тип
|
Опис
|
Приклад
|
FileOperations
|
String
|
Операції та їхні бар’єри
|
Можливі значення:
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
Значення FileOperations є внутрішніми. Їх можна використовувати лише з правилами за замовчуванням.
|
Підтримувані операції
•MultipleFilesChanged |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
OpenProcess
Додано новий атрибут правила, який активується під час відкриття процесу. Відстежується тільки відкритий процес у lsass.exe.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
Додано новий атрибут правила, який активується під час відкриття процесу.
HIPS надсилає події OpenProcess тільки для lsass.exe й тільки за наявності в процесу прав доступу PROCESS_VM_WRITE і (або) PROCESS_VM_READ під час виклику OpenProcess або DuplicateHandle (коли процес зі вказаними правами доступу вже відкрито)
Властивість
|
Тип
|
Опис
|
Приклад
|
AccessRight
|
Symbol
|
|
Можливі значення:
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
Приклад
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
Підтримувані операції
•OpenProcess |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
ReadFile
Активується під час читання відстежуваного файлу. Відстежувані файли — це файли, які містять конфіденційну інформацію або збережені облікові дані, наприклад збережені паролі браузера, збережені паролі клієнтів FTP, базу даних AD тощо.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
RegDeleteKey
Видалено розділ реєстру.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• RegistryItem
Повертає інформацію про події реєстру.
Властивість
|
Тип
|
Опис
|
Приклад
|
Key
|
Path
|
Шлях до розділу, містить ім’я значення розділу
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Довжина значення розділу
|
16
|
StringValue
|
String
|
Значення розділу рядка
|
ExampleValue
|
IntValue
|
Int
|
Значення розділу int
|
32
|
Приклад
Для розділу реєстру: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Підтримувані операції
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
RegDeleteValue
Значення реєстру видалено.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• RegistryItem
Повертає інформацію про події реєстру.
Властивість
|
Тип
|
Опис
|
Приклад
|
Key
|
Path
|
Шлях до розділу, містить ім’я значення розділу
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Довжина значення розділу
|
16
|
StringValue
|
String
|
Значення розділу рядка
|
ExampleValue
|
IntValue
|
Int
|
Значення розділу int
|
32
|
Приклад
Для розділу реєстру: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Підтримувані операції
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
RegRenameKey
Перейменовано розділ реєстру.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• RegistryItem
Повертає інформацію про події реєстру.
Властивість
|
Тип
|
Опис
|
Приклад
|
Key
|
Path
|
Шлях до розділу, містить ім’я значення розділу
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Довжина значення розділу
|
16
|
StringValue
|
String
|
Значення розділу рядка
|
ExampleValue
|
IntValue
|
Int
|
Значення розділу int
|
32
|
Приклад
Для розділу реєстру: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Підтримувані операції
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
RegSetValue
Змінено розділ реєстру.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• RegistryItem
Повертає інформацію про події реєстру.
Властивість
|
Тип
|
Опис
|
Приклад
|
Key
|
Path
|
Шлях до розділу, містить ім’я значення розділу
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
Довжина значення розділу
|
16
|
StringValue
|
String
|
Значення розділу рядка
|
ExampleValue
|
IntValue
|
Int
|
Значення розділу int
|
32
|
Приклад
Для розділу реєстру: "HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
Підтримувані операції
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
RenameFile
Файл перейменовано.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
•
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
ScheduledTaskAdded
Додано заплановане завдання.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
Повернення інформації про заплановане завдання.
Властивість
|
Тип
|
Опис
|
Приклад
|
Boundary
|
Date
|
Часові обмеження для розкладу: початок/кінець, часовий пояс і період/правила повторення.
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
Указує, чи заплановане завдання активне й чи буде виконуватися за розкладом.
|
true/false
|
Location
|
String
|
Шлях у дереві планувальника завдань Microsoft, починаючи з вузла Task Scheduler Library.
|
|
Name
|
String
|
Назва завдання.
|
|
Type
|
Symbol
|
Тип операції, яку виконує заплановане завдання.
|
Можливі значення:
•0—Create
•1—Unknown |
Підтримувані операції
•ScheduledTaskAdded |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
Scripts
Виконано сценарій, оброблений AMSI.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• Сценарії
Компонент сценаріїв дає змогу створювати правила на основі властивостей запущеного сценарію, обробленого AMSI.
Властивість
|
Тип
|
Опис
|
Script
|
String
|
Сценарій отримано ESET PROTECT через інтеграцію AMSI
|
ScriptLength
|
Int
|
Довжина сценарію (кількість символів)
|
ScriptSha1
|
Hash
|
Хеш SHA1 фрагмента сценарію
|
ScriptSha256
|
Hash
|
Хеш SHA256 фрагмента сценарію
|
Приклад
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
Підтримувані операції
•Scripts |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
ServiceInstalled
Інстальовано службу.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Служба
За допомогою цього компонента можна створювати правила на основі властивостей сервісів Windows і подій керування службами, які надає Диспетчер керування службами (Service Control Manager, SCM).
Властивість
|
Тип
|
Опис
|
Приклад
|
LoadType
|
Symbol
|
Тип запуску служби
|
Можливі значення:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Внутрішнє ім’я служби, зареєстроване в SCM
|
|
Type
|
Int
|
Указує тип служби, зареєстрований в SCM
|
Можливі значення:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Підтримувані операції
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
ServiceStarted
Запущено службу.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• Служба
За допомогою цього компонента можна створювати правила на основі властивостей сервісів Windows і подій керування службами, які надає Диспетчер керування службами (Service Control Manager, SCM).
Властивість
|
Тип
|
Опис
|
Приклад
|
LoadType
|
Symbol
|
Тип запуску служби
|
Можливі значення:
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
Внутрішнє ім’я служби, зареєстроване в SCM
|
|
Type
|
Int
|
Указує тип служби, зареєстрований в SCM
|
Можливі значення:
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
Підтримувані операції
•ServiceInstalled
•ServiceStarted |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
SetFileAttribute
Задано атрибут файлу.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileAttribute
Наразі інформація про події FileAttribute надається лише у Linux. Правило активується, якщо задано атрибут, наприклад, за допомогою команди chmod.
Властивість
|
Тип
|
Опис
|
Приклад
|
Attribute
|
Symbol
|
Атрибут файлу
|
Можливі значення:
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
Підтримувані операції
•SetFileAttribute |
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
SystemApiCall
Викликано системну функцію.
Підтримувані компоненти:
• ApiCall
Повертає інформацію про виклики API.
Властивість
|
Тип
|
Опис
|
Приклад
|
ApiName
|
Symbol
|
Ім’я API, що викликається процесом
|
Підтримуються такі значення:
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 Лише Linux
Приклад
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
Підтримувані операції
•SystemApiCall |
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
TcpIpAccept
Прийнято вхідне з’єднання TCP/IP.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• Мережа
Повертає відомості про мережеві події
Властивість
|
Тип
|
Опис
|
Приклад
|
DestinationIpAddressV4
|
Адреса Ipv4
|
Адреса призначення Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Адреса Ipv6
|
Адреса призначення Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Цільове ім’я хоста
Підтримується лише для подій TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Вхідне підключення
|
true/false
|
IpAddressV4
|
Адреса Ipv4
|
Цільовий об’єкт адреси Ipv4 події. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
IpAddressV6
|
Адреса Ipv6
|
Цільовий об’єкт адреси Ipv6 події. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Цільовий порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол підключення
|
HTTP, HTTPS тощо.
|
SourceIpAddressV4
|
Адреса Ipv4
|
Вихідна адреса Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
SourceIpAddressV6
|
Адреса Ipv6
|
Вихідна адреса Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Чи містить запит URL-адресу (тобто запит HTTP)
Підтримується для HTTP-запитів і виявлених об’єктів.
|
Цільова URL-адреса
|
Приклад
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Підтримувані операції
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
TcpIpConnect
Встановлено вихідне з’єднання TCP/IP.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• Мережа
Повертає відомості про мережеві події
Властивість
|
Тип
|
Опис
|
Приклад
|
DestinationIpAddressV4
|
Адреса Ipv4
|
Адреса призначення Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Адреса Ipv6
|
Адреса призначення Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Цільове ім’я хоста
Підтримується лише для подій TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Вхідне підключення
|
true/false
|
IpAddressV4
|
Адреса Ipv4
|
Цільовий об’єкт адреси Ipv4 події. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
IpAddressV6
|
Адреса Ipv6
|
Цільовий об’єкт адреси Ipv6 події. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Цільовий порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол підключення
|
HTTP, HTTPS тощо.
|
SourceIpAddressV4
|
Адреса Ipv4
|
Вихідна адреса Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
SourceIpAddressV6
|
Адреса Ipv6
|
Вихідна адреса Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Чи містить запит URL-адресу (тобто запит HTTP)
Підтримується для HTTP-запитів і виявлених об’єктів.
|
Цільова URL-адреса
|
Приклад
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Підтримувані операції
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
TcpIpProtocolIdentified
Описує протокол, який використовується поверх з’єднання TCP/IP.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• Мережа
Повертає відомості про мережеві події
Властивість
|
Тип
|
Опис
|
Приклад
|
DestinationIpAddressV4
|
Адреса Ipv4
|
Адреса призначення Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
DestinationIpAddressV6
|
Адреса Ipv6
|
Адреса призначення Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
Цільове ім’я хоста
Підтримується лише для подій TCP IP.
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
Вхідне підключення
|
true/false
|
IpAddressV4
|
Адреса Ipv4
|
Цільовий об’єкт адреси Ipv4 події. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
IpAddressV6
|
Адреса Ipv6
|
Цільовий об’єкт адреси Ipv6 події. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
Цільовий порт TCP/UDP
|
8080
|
Protocol
|
String
|
Протокол підключення
|
HTTP, HTTPS тощо.
|
SourceIpAddressV4
|
Адреса Ipv4
|
Вихідна адреса Ipv4 для виявлення брандмауера. Підтримує маски.
|
192.168.0.1, підтримує маски — 192.168.0.0/16
|
SourceIpAddressV6
|
Адреса Ipv6
|
Вихідна адреса Ipv6 для виявлення брандмауера. Підтримує маски.
|
2001:db8:85a3:8d3:1319:8a2e:370:0, підтримує маски — 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
Чи містить запит URL-адресу (тобто запит HTTP)
Підтримується для HTTP-запитів і виявлених об’єктів.
|
Цільова URL-адреса
|
Приклад
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
Підтримувані операції
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
TruncateFile
Файл скорочено.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
UnloadDriver
Вивантажено драйвер або модуль ядра.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
UserActivate
Користувача активовано.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
Користувача додано в групу.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Ідентичний компоненту UserLogonData, проте має властивості щодо даних про групи.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
Створено нового користувача.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
Користувача вимкнуто.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
Користувач увійшов у систему.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Події, пов’язані з діями користувача (створений користувач, виконано вхід, ...), інформація про ці події.
Властивість
|
Тип
|
Опис
|
Приклад
|
Hostname
|
String
|
Ім’я комп’ютера, з якого було виконано спробу входу
|
|
IpAddressV4
|
Адреса Ipv4
|
Адреса IPv4 комп’ютера, з якого було виконано спробу входу
|
|
IpAddressV6
|
Адреса Ipv6
|
Адреса IPv6 комп’ютера, з якого було виконано спробу входу
|
|
LogonType
|
Symbol
|
Тип входу
|
Можливі значення:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Вихідний порт, який використовувався для спроби входу з віддаленого комп’ютера
|
|
Підтримувані операції
•UserLogin
•UserLogout |
UserLogout
Користувач вийшов із системи.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
Події, пов’язані з діями користувача (створений користувач, виконано вхід, ...), інформація про ці події.
Властивість
|
Тип
|
Опис
|
Приклад
|
Hostname
|
String
|
Ім’я комп’ютера, з якого було виконано спробу входу
|
|
IpAddressV4
|
Адреса Ipv4
|
Адреса IPv4 комп’ютера, з якого було виконано спробу входу
|
|
IpAddressV6
|
Адреса Ipv6
|
Адреса IPv6 комп’ютера, з якого було виконано спробу входу
|
|
LogonType
|
Symbol
|
Тип входу
|
Можливі значення:
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
Вихідний порт, який використовувався для спроби входу з віддаленого комп’ютера
|
|
Підтримувані операції
•UserLogin
•UserLogout |
UserRemove
Користувача видалено.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
Користувача видалено з групи.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• DoneByUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• TargetUser
Цільовий користувач.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
Ідентичний компоненту UserLogonData, проте має властивості щодо даних про групи.
Властивість
|
Тип
|
Опис
|
Приклад
|
Sid
|
String
|
Користувач (SID облікового запису), який ініціював подію
|
|
SidNameUse
|
Symbol
|
Група (її тип SID облікового запису), яка ініціювала подію
|
Групи:
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
Користувач (ім’я облікового запису), який ініціював подію
|
|
Підтримувані операції
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
Виконано подію з VirtualDiskMount.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
WmiExecution
Активовано подію виконання WMI.
Підтримувані компоненти:
• ClientEnterprise
ClientEnterprise доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
Age
|
Int
|
Кількість днів, що минули з моменту фіксації відомостей про виконуваний файл у базі даних LiveGrid. Конкретна кількість днів округляється до еквівалента тижня, місяця, півріччя, року тощо.
|
|
Reputation
|
Int
|
Оцінка за шкалою репутації. Що вище, то більше довіри
|
Можливі значення:
•9, 8 — довірені
•7, 6 — звичайні
•5, 4 — ризикові
•3 — потенційно небажані програми, невідомі (не зафіксовані в базі даних ESET LiveGrid)
•2, 1 — шкідливе програмне забезпечення |
Popularity
|
Int
|
Кількість комп’ютерів, на яких система LiveGrid зафіксувала виконуваний файл. Конкретну кількість округляють до таких чисел, як 10, 100, 1000, 10000 тощо. Зазвичай шкідливе програмне забезпечення виявляється, коли його популярність перевищить 1000.
|
|
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0 — RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo доступний тільки разом з операціями WmiExecution, WmiQuery й CodeInjection, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
Підтримувані операції
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• WmiExecutionInfo
Подія виконання WMI відбувається тільки під час виклику методу Win32_process.create().
Властивість
|
Тип
|
Опис
|
ClassName
|
String
|
Клас, що містить активований метод
|
ClientMachineFQDN
|
String
|
Повне доменне ім’я клієнтського комп’ютера
|
CommandLine
|
String
|
Командний рядок, надісланий у метод як список аргументів
|
IsLocal
|
Bool
|
Визначає спосіб виклику методу (локально чи віддалено)
|
MethodName
|
String
|
Метод, який було активовано
|
Приклад
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
Підтримувані операції
•WmiExecution |
WmiPersistence
Подія генерується, коли клієнт прив’язується до фільтра.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• WmiPersistenceInfo
Подія генерується, коли клієнт прив’язується до фільтра.
Властивість
|
Тип
|
Опис
|
EventConsumerName
|
String
|
Ім’я споживача, яке ініціює дію, якщо відбувається певна подія
|
EventFilterName
|
String
|
Ім’я використовуваного фільтра подій
|
Handler
|
String
|
Командний рядок, запущений споживачем події
|
Query
|
String
|
Запит у фільтрі подій, який фіксує події, які мають виконати дію
|
TriggeringUserName
|
String
|
Ім’я користувача, який ініціював подію, яку було зіставлено з фільтром.
|
TriggeringUserSid
|
String
|
Активація ідентифікатора безпеки користувача
|
TriggeringUserSidNameUse
|
Int
|
Активація типу SID користувача
|
Приклад
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
Підтримувані операції
•WmiPersistence |
WmiQuery
Запит WMI було виконано на комп’ютері.
Підтримувані компоненти:
• ClientEnterprise
ClientEnterprise доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
Age
|
Int
|
Кількість днів, що минули з моменту фіксації відомостей про виконуваний файл у базі даних LiveGrid. Конкретна кількість днів округляється до еквівалента тижня, місяця, півріччя, року тощо.
|
|
Reputation
|
Int
|
Оцінка за шкалою репутації. Що вище, то більше довіри
|
Можливі значення:
•9, 8 — довірені
•7, 6 — звичайні
•5, 4 — ризикові
•3 — потенційно небажані програми, невідомі (не зафіксовані в базі даних ESET LiveGrid)
•2, 1 — шкідливе програмне забезпечення |
Popularity
|
Int
|
Кількість комп’ютерів, на яких система LiveGrid зафіксувала виконуваний файл. Конкретну кількість округляють до таких чисел, як 10, 100, 1000, 10000 тощо. Зазвичай шкідливе програмне забезпечення виявляється, коли його популярність перевищить 1000.
|
|
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule доступний тільки разом з операціями WmiExecution і WmiQuery, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
AugurScore
|
Int
|
Оцінка за системою машинного навчання ESET. Можливі значення: від 0 до 99
|
67
|
CompanyName
|
String
|
Компанія, яка створила файл (за даними з відомостей про версію)
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
Кількість днів, що минули з того моменту, як файл було визнано потенційно небезпечним.
Потенційно небезпечний файл: виявлення ініціюється через шкідливе програмне забезпечення, але воно може бути помилковим спрацьовуванням (ми не можемо гарантувати, що це шкідливе програмне забезпечення)
|
|
EmulationStatus
|
Int
|
Стан емуляції файлу (якщо файл емульовано з використанням розширеної евристики)
|
0: не було емульовано
1: було емульовано
|
FileDescription
|
String
|
Опис файлу, який відображається користувачам (за даними з відомостей про версію)
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
Файл доставлено через RDP
|
Можливі значення:
0 — RDP
|
FileSize
|
Int
|
Розмір файлу в байтах
|
41984
|
FileVersion
|
String
|
Номер версії файлу (за даними з відомостей про версію)
|
"10.0.14393.0"
|
InternalName
|
String
|
Внутрішнє ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
Файл є DLL PE
|
true/false
|
IsElf
|
Bool
|
Файл є файлом ELF
|
true/false
|
IsExe
|
Bool
|
Файл є виконуваним файлом
|
true/false
|
IsMacho
|
Bool
|
Визначає, чи є файл файлом Mach-O (macOS)
|
true/false
|
IsNative
|
Bool
|
Файл є внутрішнім виконуваним файлом PE
|
true/false
|
isPe
|
Bool
|
Файл є виконуваним файлом Windows
|
true/false
|
MD5
|
Hash
|
Хеш md5 виконуваного файлу
|
|
MachoIsProtected
|
Bool
|
Модуль є захищеним виконуваним файлом Mach-O
|
|
MachoSignatureId
|
String
|
Ідентифікатор файлу Mach-O, який міститься в підписі
|
"com.apple.ls"
|
MachoSignerCns
|
Набір рядків
|
Набір загальних імен із сертифікатів у файлі Mach-O
|
|
MachoUserId
|
String
|
Унікальний ідентифікатор розробника від Apple
|
|
OriginalFileName
|
String
|
Вихідне ім’я файлу (за даними з відомостей про версію)
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
Ім’я упакованої шкідливої програми
|
"UPX"
|
ProductName
|
String
|
Назва продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
Номер версії продукту, з яким розповсюджується файл (за даними з відомостей про версію)
|
"10.0.14393"
|
SFXName
|
String
|
Ім’я упакованої шкідливої програми sfx
|
"Zip"
|
Sha1
|
Hash
|
Хеш sha1 виконуваного файлу
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
Хеш sha256 виконуваного файлу
|
|
SignatureType
|
Symbol
|
Тип підпису виконуваного файлу
|
Можливі значення:
•90—Trusted: підпис є довіреним для Endpoint
•80—Valid: підпис є довіреним для операційної системи
•75—Adhoc: сертифікат із власним підписом
•70—None: у файлі немає підпису
•60—Invalid: підпис недійсний/пошкоджений/відкликаний
•50—Present: підпис є, але статус сертифіката невідомий
•50—Unknown: не вдалося перевірити сертифікат |
SignerName
|
String
|
Ім’я особи, яка підписала документ (якщо така є)
|
"Microsoft Windows"
|
Tags
|
String
|
Дає користувачу змогу фільтрувати за модулем, до якого додано вказаний тег
|
|
Whitelist
|
Symbol
|
Тип білого списку виконуваного файлу
|
Можливі значення:
•0—None: для цього файлу немає білого списку
•1—Authoritative: файл додано в білий список робочою станцією
•2—LiveGrid: файл додано в білий список на основі відомостей від LiveGrid
•3—Certificate: сертифікат файлу додано в білий список |
|
|
1У майбутньому назви упакованих шкідливих програм можуть змінитися. Тому ми рекомендуємо для цієї умови використовувати значення isnotempty або isempty.
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo доступний тільки разом з операціями WmiExecution, WmiQuery й CodeInjection, які мають клієнтський процес. Клієнтський процес — це процес, який фактично виконує метод WMI.
Властивість
|
Тип
|
Опис
|
Приклад
|
CaseSensitiveCommandLine
|
String
|
Дозволяє створювати правила для командного рядка (з урахуванням регістру)
|
|
CommandLine
|
String
|
Командний рядок процесу
|
file.txt
|
CommandLineLength
|
Int
|
Довжина командного рядка
|
123
|
Compromised
|
Bool
|
Процес було позначено як скомпрометований правилом із дією MarkAsCompromised
|
true/false або 1/0
|
IntegrityLevel
|
Symbol
|
Рівень цілісності процесу
|
Можливі значення:
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
Містить шлях до виконуваного файлу ярлика
|
|
ProcessDistance
|
Int
|
Відстань процесу від поточного процесу
|
123
|
ProcessLevel
|
Int
|
Глибина процесу в ієрархії процесів
|
123
|
ProcessOwner
|
String
|
Користувач, який створив таймер
|
|
RiskScore
|
Int
|
Оцінка відстежується для кожного процесу на робочій станції. За допомогою дій IncreaseParentRiskScore й IncreaseRiskScore можна збільшити значення на задану величину. Коли оцінка ризику сягає порогового значення, активується дія KillParentProcess або KillProcess. Щоб указати поріг оцінки ризику, виберіть "Політика > ESET Inspect Connector > Розширені налаштування". Оцінка ризику скидається через певний проміжок часу (за замовчуванням — 6 годин).
|
1000
|
Підтримувані операції
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
• WmiQueryInfo
Події запиту WMI виникають, коли користувач або служба ініціюють запит у системі.
Властивість
|
Тип
|
Опис
|
ClientMachineFQDN
|
String
|
Повне доменне ім’я клієнтського комп’ютера
|
IsLocal
|
Bool
|
Якщо повернуто значення false, запит викликався з віддаленого комп’ютера (наприклад, за допомогою WbemTest)
|
Query
|
String
|
У системі було активовано запит
|
Приклад
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
Підтримувані операції
•WmiQuery |
WriteFile
У файл виконано запис.
Підтримувані компоненти:
• DateTime
Дає змогу створювати правила, які активуватимуться тільки в заданий час.
Властивість
|
Тип
|
Опис
|
Приклад
|
DayOfWeek
|
Int
|
Активувати правило тільки в певні дні тижня
|
Можливі значення:
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
Активувати правило тільки в певні періоди доби. Можливі значення: від 0 до 23
|
12
|
Minute
|
Int
|
Активувати правило тільки в певні періоди доби.
Можливі значення: від 0 до 59
|
30
|
Приклад
Це правило активується щоразу, коли програма "Блокнот" відкривається в проміжку часу з понеділка по п’ятницю з 9:00 до 17:00.
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
Підтримувані операції
Компонент DateTime підтримується всіма операціями.
|
• EnterpriseInspector
Надає інформацію про конектор.
Властивість
|
Тип
|
Опис
|
Приклад
|
VersionString
|
String
|
Рядок версії конектора.
|
1.9.2385
|
VersionMajor
|
Int
|
Основна версія конектора.
|
1
|
VersionMinor
|
Int
|
Проміжна версія конектора.
|
9
|
BuildNumber
|
Int
|
Номер збірки конектора.
|
2385
|
Підтримувані операції
Компонент EnterpriseInspector підтримується всіма операціями.
|
• FileItem
Повертає інформацію про поточний файл.
Властивість
|
Тип
|
Опис
|
Приклад
|
ADS
|
String
|
Частина ADS шляху
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
Розширення файлу
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
Ім’я файлу з розширенням файлу
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
Ім’я файлу без розширення
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
Шлях до файлу (містить назву файлу)
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
Довжина імені
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
Шлях до файлу
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
Активується, якщо файл виконує самозастосовну операцію (зазвичай зловмисне програмне забезпечення видаляється через самовидалення)
|
true/false
|
Файл-сигналізатор
Властивості шляху мають спеціальну змінну для файлів-сигналізаторів. Для визначення шляху до файлу-сигналізатора використовується значення %CanaryFile%.
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
Підтримувані операції
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
Інформація про систему, з якої надходять події.
Властивість
|
Тип
|
Опис
|
Приклад
|
isServer
|
Bool
|
Указує, чи є система сервером
|
False — не сервер
True — сервер
|
SystemArchitecture
|
Symbol
|
Тип архітектури системи
|
Для 32-бітної архітектури використовуйте одне з таких значень:
•32
•32bit
•x86
•0
Для 64-бітної архітектури використовуйте одне з таких значень:
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
Тип операційної системи, яка ініціювала подію
|
Для системи Windows використовуйте одне з таких значень:
•Windows
•Win
•0
Для системи MacOS використовуйте одне з таких значень:
•macOs
•macOsx
•Osx
•1
Для системи Linux використовуйте таке значення:
•2 |
SystemVersion
|
String
|
Повна версія системи (основна й проміжна)
|
|
Tags
|
Набір рядків
|
Теги, призначені певній системі
|
|
Умови, що підтримуються для типів наборів (набору адрес IPv4, набору адрес IPv6, набору рядків, набору символів), перелічено в таблиці типів властивостей і їх взаємозв’язків у розділі наборів значень.
Підтримувані операції
Компонент SystemInfo підтримується всіма операціями.
|
|
|
Попередні версії Windows не відтворюють події WMI. Ця функція доступна у Windows 10 версії 1803 й новіших версій.
Деякі з подій надають лише часткову інформацію:
•Події запису у файл: записується лише перша зміна файлу (залежить від процесу; якщо два процеси змінюють той самий файл, записуються обидві зміни)
•Події, пов’язані з реєстром: записується лише перша зміна розділу реєстру (перший раз від процесу)
•DLLLoad: записуються лише бібліотеки DLL, які не внесені до білого списку антивірусом
•Події TcpIp: записується лише перше підключення (перший раз від певного процесу)
•Події http: записується лише перший запит (перший раз від певного процесу)
•ModuleDrop (також відомий як PEDrop) — відомості повертаються лише для першої інсталяції відповідного модуля дропером (перший раз на комп’ютері)
•AmsiTriggerEvent: записується лише перше виконання (вперше на комп’ютері) |
