operations 部分定义进程执行的哪些操作会引发该指标。如果为空，则在进程生成事件时触发该指标。
操作是使用具有 type 属性的操作元素和表达式元素定义的。
<operation type="WriteFile">Expression</operation>
所有操作都支持以下组件。
•
DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
BitsJobAddFile
已将文件添加到 BITS 作业中。
支持的组件：
• BitsJobAddFile
返回 BITS 作业相关信息。
属性
|
类型
|
说明
|
示例
|
FileCount
|
Int
|
添加到作业的文件数量。
|
1
|
JobTitle
|
String
|
BITS 作业的显示名称。
|
"UpdateJob-2025-06-03"
|
LocalName
|
String
|
文件的本地目标路径。
|
"C:\ProgramData\App\update.bin"
|
RemoteName
|
String
|
文件的源 URL 或远程路径。
|
"https://cdn.example.com/update.bin"
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
拥有或创建作业的帐户。
|
|
UserSid
|
String
|
帐户的安全标识符 (SID)。
|
|
支持的行动
•BitsJobAddFile |
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
CodeInjection
进程受到某种形式的代码注入的影响。
支持的组件：
• ClientProcessInfo
ClientProcessInfo 只能与具有客户端进程的 WmiExecution、WmiQuery 和 CodeInjection 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
支持的行动
•Codeinjection
•WmiExecution
•WmiQuery |
• CodeInjectionInfo
对于 CodeInjection 事件，它报告有关所用代码注入技术的信息。
属性
|
类型
|
说明
|
示例
|
CodeInjectionType
|
Symbol
|
使用的代码注入技术
|
可能的值为：
•0—CreateRemoteThread
•1—SetThreadContext
•2—ApcQueue |
支持的行动
•CodeInjection |
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• 企业
提供有关监控网络中模块的统计信息。
支持的行动
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid 是一个从全球用户那里收集威胁信息的预防系统。ESET LiveGrid 数据库包含有关潜在威胁的声誉信息。可执行文件的声誉可帮助您过滤规则结果。
属性
|
类型
|
说明
|
示例
|
Age
|
Int
|
自可执行文件首次在 ESET LiveGrid 中出现以来的天数。天数四舍五入为周、月、半年、年等对等时间。
|
|
Reputation
|
Int
|
声誉等级上的数字。数字越大，越受信任
|
可能的值为：
•9, 8 - 受信任
•7, 6 - 正常
•5, 4 - 高风险
•3 - PUA，未知（ESET LiveGrid 未看到）
•2, 1 - 恶意软件 |
Popularity
|
Int
|
ESET LiveGrid 已在其上看到可执行文件的计算机数量。它四舍五入为 10、100、1000、10000 等数字。在被检测到之前，恶意软件通常不会超过 1000 受欢迎度。
|
|
|
|
对于新的可执行文件，您不能依赖 ESET LiveGrid 值。即使是最受欢迎和最受信任的可执行文件（例如，新版 Google Chrome 的安装程序），在发布后的一段时间内受欢迎度也很低，并且声誉未知。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 模块
返回有关当前模块的信息
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0—RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
返回有关当前进程的信息。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
SentBytes
|
Int
|
进程发送的字节总数。
|
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
返回有关当前服务进程的信息。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
SentBytes
|
Int
|
进程发送的字节总数。
|
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
CreateNamedPipe
已创建命名管道。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
CreateProcess
已创建进程。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• 企业
提供有关监控网络中模块的统计信息。
支持的行动
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid 是一个从全球用户那里收集威胁信息的预防系统。ESET LiveGrid 数据库包含有关潜在威胁的声誉信息。可执行文件的声誉可帮助您过滤规则结果。
属性
|
类型
|
说明
|
示例
|
Age
|
Int
|
自可执行文件首次在 ESET LiveGrid 中出现以来的天数。天数四舍五入为周、月、半年、年等对等时间。
|
|
Reputation
|
Int
|
声誉等级上的数字。数字越大，越受信任
|
可能的值为：
•9, 8 - 受信任
•7, 6 - 正常
•5, 4 - 高风险
•3 - PUA，未知（ESET LiveGrid 未看到）
•2, 1 - 恶意软件 |
Popularity
|
Int
|
ESET LiveGrid 已在其上看到可执行文件的计算机数量。它四舍五入为 10、100、1000、10000 等数字。在被检测到之前，恶意软件通常不会超过 1000 受欢迎度。
|
|
|
|
对于新的可执行文件，您不能依赖 ESET LiveGrid 值。即使是最受欢迎和最受信任的可执行文件（例如，新版 Google Chrome 的安装程序），在发布后的一段时间内受欢迎度也很低，并且声誉未知。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 模块
返回有关当前模块的信息
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0—RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
返回有关当前进程的信息。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
SentBytes
|
Int
|
进程发送的字节总数。
|
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
返回有关当前服务进程的信息。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
SentBytes
|
Int
|
进程发送的字节总数。
|
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
DeleteFile
文件已删除。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
DeleteVolumeShadowCopy
已删除卷影副本。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• VolumeShadowCopyInfo
返回关于卷影副本创建和现有备份快照的信息。
属性
|
类型
|
说明
|
示例
|
OriginalVolumeName
|
String
|
已创建卷影副本的卷名称
|
"(C:) \\?\Volume{9d1a2b34-5c67-48e1-9f2a-1b2c3d4e5f60}\"
|
OriginatingMachine
|
String
|
包含原始卷的计算机名称
|
"win-srv-01.corp.example.com"
|
ProviderName
|
String
|
用于创建卷影副本的提供程序的名称
|
"Microsoft Software Shadow Copy provider 1.0"
|
ServiceMachine
|
String
|
提供卷影副本服务的系统名称（通常与本地备份中的源计算机名称相同）
|
"win-srv-01.corp.example.com"
|
SnapshotDeviceObject
|
String
|
表示卷快照的设备路径。设备对象路径可视为某个卷的卷影副本的根路径。请求者在访问其需处理的已创建卷影副本的卷上的文件时，将使用此设备名称。
|
\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2
|
支持的行动
•DeleteVolumeShadowCopy |
DnsRequest
已发出 DNS 请求（通常是 IP > 域，域 > IP）。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DnsInfo
具有以下属性的 DnsInfo：
属性
|
类型
|
说明
|
示例
|
DnsQuery
|
String
|
DNS 查询
|
www.google.com
|
DnsQueryLength
|
Int
|
DNS 查询的长度
|
100
|
DnsResponseIpAddressV4
|
IPv4 地址集
|
DNS 响应中的 A 记录
|
216.58.201.67
|
DnsResponseIpAddressV6
|
IPv6 地址集
|
DNS 响应中的 AAAA 记录
|
2001:db8:85a3:8131:4321:8a2e:370:7334
|
DnsResponseString
|
字符串集
|
DNS 响应中的 NS、CNAME、PTR 或 TXT 记录
|
mobile-google.com
|
DnsResponseType
|
符号集
|
DNS 响应中存在的记录类型
|
HINFO
|
DnsResponsesLength
|
Int
|
DNS 响应的总长度
|
100
|
对于属性 DnsResponseType，有一个预定义的值范围可以使用（不区分大小写）：
有关 DnsResponseType 值的详细信息，请参阅资源记录 (RR) 类型。
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
示例
<rule>
<definition>
<operations>
<operation type="DnsRequest">
<condition component="DnsInfo" condition="contains" property="DnsResponseType" value="CNAME" />
</operation>
</operations>
</definition>
</rule>
|
支持的行动
•DnsRequest |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
HttpRequest
已发出 HTTP 请求。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• 网络
返回有关网络事件的信息
属性
|
类型
|
说明
|
示例
|
DestinationIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 目标地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 目标地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
目标主机名
仅支持 TCP IP 事件。
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
连接为入站连接
|
true/false
|
IpAddressV4
|
Ipv4 地址
|
事件的 Ipv4 地址目标。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 地址
|
事件的 Ipv6 地址目标。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 目标端口
|
8080
|
Protocol
|
String
|
连接使用的协议
|
HTTP, HTTPS 等
|
SourceIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 源地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 源地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
如果请求涉及 URL（即 HTTP 请求）
支持 HTTP 请求和检测。
|
目标 URL
|
示例
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
支持的行动
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
LoadDLL
已加载 DLL。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• 企业
提供有关监控网络中模块的统计信息。
支持的行动
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid 是一个从全球用户那里收集威胁信息的预防系统。ESET LiveGrid 数据库包含有关潜在威胁的声誉信息。可执行文件的声誉可帮助您过滤规则结果。
属性
|
类型
|
说明
|
示例
|
Age
|
Int
|
自可执行文件首次在 ESET LiveGrid 中出现以来的天数。天数四舍五入为周、月、半年、年等对等时间。
|
|
Reputation
|
Int
|
声誉等级上的数字。数字越大，越受信任
|
可能的值为：
•9, 8 - 受信任
•7, 6 - 正常
•5, 4 - 高风险
•3 - PUA，未知（ESET LiveGrid 未看到）
•2, 1 - 恶意软件 |
Popularity
|
Int
|
ESET LiveGrid 已在其上看到可执行文件的计算机数量。它四舍五入为 10、100、1000、10000 等数字。在被检测到之前，恶意软件通常不会超过 1000 受欢迎度。
|
|
|
|
对于新的可执行文件，您不能依赖 ESET LiveGrid 值。即使是最受欢迎和最受信任的可执行文件（例如，新版 Google Chrome 的安装程序），在发布后的一段时间内受欢迎度也很低，并且声誉未知。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 模块
返回有关当前模块的信息
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0—RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• ProcessInfo
返回有关当前进程的信息。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
SentBytes
|
Int
|
进程发送的字节总数。
|
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL |
• ServiceProcessInfo
返回有关当前服务进程的信息。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
SentBytes
|
Int
|
进程发送的字节总数。
|
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
LoadDriver
已加载驱动程序或内核模块。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 模块
返回有关当前模块的信息
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0—RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
ModuleDrop
已删除可执行文件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• 企业
提供有关监控网络中模块的统计信息。
支持的行动
•CreateProcess
•LoadDLL
•CodeInjection
•ModuleDrop |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• LiveGrid
ESET LiveGrid 是一个从全球用户那里收集威胁信息的预防系统。ESET LiveGrid 数据库包含有关潜在威胁的声誉信息。可执行文件的声誉可帮助您过滤规则结果。
属性
|
类型
|
说明
|
示例
|
Age
|
Int
|
自可执行文件首次在 ESET LiveGrid 中出现以来的天数。天数四舍五入为周、月、半年、年等对等时间。
|
|
Reputation
|
Int
|
声誉等级上的数字。数字越大，越受信任
|
可能的值为：
•9, 8 - 受信任
•7, 6 - 正常
•5, 4 - 高风险
•3 - PUA，未知（ESET LiveGrid 未看到）
•2, 1 - 恶意软件 |
Popularity
|
Int
|
ESET LiveGrid 已在其上看到可执行文件的计算机数量。它四舍五入为 10、100、1000、10000 等数字。在被检测到之前，恶意软件通常不会超过 1000 受欢迎度。
|
|
|
|
对于新的可执行文件，您不能依赖 ESET LiveGrid 值。即使是最受欢迎和最受信任的可执行文件（例如，新版 Google Chrome 的安装程序），在发布后的一段时间内受欢迎度也很低，并且声誉未知。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•ModuleDrop |
• 模块
返回有关当前模块的信息
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0—RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
支持的行动
•CodeInjection
•CreateProcess
•LoadDLL
•LoadDriver
•ModuleDrop |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
MultipleFilesChanged
进程已修改多个文件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• ProcessBehavior
ProcessBehavior 事件在 Windows 上报告。病毒防护会跟踪哪些文件被访问了以及访问频率。如果进程在特定时间段内访问的文件数超过了屏障中设置的文件数，则会报告此事件。
属性
|
类型
|
说明
|
示例
|
FileOperations
|
String
|
操作及其屏障
|
可能的值为：
•0—Unknown
•1—WrBarrier1
•2—WrBarrier2
•3—RenameBarrier1
•4—RenameBarrier2
•5—MultiextWrBarrier1
•6—MultiextWrBarrier2
•7—MultiextRenameBarrier1
•8—MultiextRenameBarrier2
•9—BlobDetection |
|
|
FileOperations 值是内部值，仅用于默认规则。
|
支持的行动
•MultipleFilesChanged |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
OpenProcess
添加了一个新的规则属性，该属性在打开进程时触发。仅监视 lsass.exe 的已打开进程。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• OpenProcess
添加了一个新的规则属性，该属性在打开进程时触发。
HIPS 仅在调用 OpenProcess 或 DuplicateHandle 时，仅针对 lsass.exe 发送 OpenProcess 事件，并且仅使用 PROCESS_VM_WRITE 和/或 PROCESS_VM_READ 进程访问权限（当已打开的进程具有上述访问权限时）
属性
|
类型
|
说明
|
示例
|
AccessRight
|
Symbol
|
|
可能的值为：
•1—PROCESS_TERMINATE
•2—PROCESS_CREATE_THREAD
•8—PROCESS_VM_OPERATION
•16—PROCESS_VM_READ
•32—PROCESS_VM_WRITE
•64—PROCESS_DUP_HANDLE
•128—PROCESS_CREATE_PROCESS
•256—PROCESS_SET_QUOTA
•512—PROCESS_SET_INFORMATION
•1024—PROCESS_QUERY_INFORMATION
•2048—PROCESS_SUSPEND_RESUME
•4096—PROCESS_QUERY_LIMITED_INFORMATION
•65536—DELETE
•131072—READ_CONTROL
•262144—WRITE_DAC
•524288—WRITE_OWNER
•1048576—SYNCHRONIZE
•2097151—PROCESS_ALL_ACCESS |
示例
<operations>
<operation type="OpenProcess">
<condition component="OpenProcess" property="AccessRight" condition="contains" value="PROCESS_VM_READ" />
</operation>
</operations>
|
支持的行动
•OpenProcess |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
ReadFile
在读取受监视的文件时触发。受监视的文件是指包含敏感信息或存储凭据（例如，存储的浏览器密码、存储的 FTP 客户端密码、AD 数据库等）的文件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
RegDeleteKey
已删除注册表项。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• RegistryItem
返回有关注册表事件的信息
属性
|
类型
|
说明
|
示例
|
Key
|
Path
|
键的路径，包含键的值名称
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
键值的长度
|
16
|
StringValue
|
String
|
字符串键的值
|
“ExampleValue”
|
IntValue
|
Int
|
整型键的值
|
32
|
示例
对于注册表项："HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
支持的行动
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
RegDeleteValue
已删除注册表的值。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• RegistryItem
返回有关注册表事件的信息
属性
|
类型
|
说明
|
示例
|
Key
|
Path
|
键的路径，包含键的值名称
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
键值的长度
|
16
|
StringValue
|
String
|
字符串键的值
|
“ExampleValue”
|
IntValue
|
Int
|
整型键的值
|
32
|
示例
对于注册表项："HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
支持的行动
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
RegRenameKey
已重命名注册表项。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• RegistryItem
返回有关注册表事件的信息
属性
|
类型
|
说明
|
示例
|
Key
|
Path
|
键的路径，包含键的值名称
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
键值的长度
|
16
|
StringValue
|
String
|
字符串键的值
|
“ExampleValue”
|
IntValue
|
Int
|
整型键的值
|
32
|
示例
对于注册表项："HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
支持的行动
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
RegSetValue
已更改注册表项。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• RegistryItem
返回有关注册表事件的信息
属性
|
类型
|
说明
|
示例
|
Key
|
Path
|
键的路径，包含键的值名称
|
HKLM\SOFTWARE\ESET\EnterpriseInspector\EIAgent\CurrentVersion\Info
|
ValueLength
|
Int
|
键值的长度
|
16
|
StringValue
|
String
|
字符串键的值
|
“ExampleValue”
|
IntValue
|
Int
|
整型键的值
|
32
|
示例
对于注册表项："HKLM\SOFTWARE\Classes\CLSID\{12788EFC-0553-4126-A4E1-8AA0F5270615}\InprocServer32\CodeBase"
<operations>
<operation type="RegSetValue">
<operator type="AND">
<condition component="RegistryItem" property="Key" condition="starts" value="HKLM\software\classes\clsid\" />
<condition component="RegistryItem" property="Key" condition="contains" value="\InprocServer32\" />
<condition component="RegistryItem" property="Key" condition="ends" value="\CodeBase" />
<condition component="RegistryItem" property="StringValue" condition="contains" value="http" />
</operator>
</operation>
</operations>
|
支持的行动
•RegDeleteKey
•RegDeleteValue
•RegRenameKey
•RegSetValue |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
RenameFile
已重命名文件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
•
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
ScheduledTaskAdded
已添加计划任务。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• ScheduledTask
返回关于计划任务的信息。
属性
|
类型
|
说明
|
示例
|
Boundary
|
Date
|
计划的时间约束：开始/结束时间、时区，以及重复的时间窗口/规则。
|
2025-07-31 16:10:00
|
Enabled
|
Bool
|
表示计划任务是否处于活动状态以及是否按其计划运行。
|
true/false
|
Location
|
String
|
从“任务计划程序库”节点开始的 Microsoft 任务计划程序树路径
|
|
Name
|
String
|
任务名称
|
|
Type
|
Symbol
|
计划任务操作类型
|
可能的值为：
•0—Create
•1—Unknown |
支持的行动
•ScheduledTaskAdded |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
Scripts
已执行 AMSI 公开的脚本。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• 脚本
脚本组件允许您根据 AMSI 公开的已执行脚本的属性创建规则。
属性
|
类型
|
说明
|
Script
|
String
|
ESET PROTECT 通过 AMSI 集成接收的脚本
|
ScriptLength
|
Int
|
脚本的长度（字符数）
|
ScriptSha1
|
Hash
|
脚本片段的 SHA1 哈希
|
ScriptSha256
|
Hash
|
脚本片段的 SHA256 哈希
|
示例
<rule>
<definition>
<operations>
<operation type="Scripts">
<condition component="Scripts" property="ScriptLength" condition="greaterOrEqual" value="15" />
</operation>
</operations>
</definition>
<description>
<name>amsiTriggerScriptLength</name>
<category>TEST</category>
</description>
</rule>
|
支持的行动
•Scripts |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
ServiceInstalled
已安装服务。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 服务
服务组件支持基于 Windows 服务的属性和服务控制管理器(SCM) 公开的服务控制事件创建规则。
属性
|
类型
|
说明
|
示例
|
LoadType
|
Symbol
|
服务启动类型
|
可能的值为：
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
向 SCM 注册的内部服务名称
|
|
Type
|
Int
|
表示向 SCM 注册的服务的类型
|
可能的值为：
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
支持的行动
•ServiceInstalled
•ServiceStarted |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
ServiceStarted
已启动服务。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• 服务
服务组件支持基于 Windows 服务的属性和服务控制管理器(SCM) 公开的服务控制事件创建规则。
属性
|
类型
|
说明
|
示例
|
LoadType
|
Symbol
|
服务启动类型
|
可能的值为：
•0—BootLoad
•1—SystemLoad
•2—AutoLoad
•3—ManualLoad
•4—DisabledLoad |
Name
|
String
|
向 SCM 注册的内部服务名称
|
|
Type
|
Int
|
表示向 SCM 注册的服务的类型
|
可能的值为：
•1—DriverType
•2—FileSystemType
•4—AdapterType
•8—RecognizerType
•16—Win32ServiceOwnProcess
•32—Win32ServiceShareProcess
•272—InteractiveOwnProcess
•288—InteractiveShareProcess |
支持的行动
•ServiceInstalled
•ServiceStarted |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
SetFileAttribute
已设置文件属性。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileAttribute
目前仅报告 Linux 上的 FileAttribute 事件。例如，当通过 chmod 命令设置属性时，会触发该规则。
属性
|
类型
|
说明
|
示例
|
Attribute
|
Symbol
|
文件的属性
|
可能的值为：
•1—SUID
•2—SGID
•4—Sticky
•8—Immutable
•16—AppendOnly
•32—Undeletable
•64—Executable |
支持的行动
•SetFileAttribute |
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
SystemApiCall
已调用系统函数。
支持的组件：
• ApiCall
返回有关 API 调用的信息。
属性
|
类型
|
说明
|
示例
|
ApiName
|
Symbol
|
进程调用的 API 的名称
|
支持的值为：
•0—SetWinEventHook
•1—SetWindowsHookEx
•2—RegisterRawInputDevices
•3—GetAsyncKeyState
•4—UiLimitWriteClipboard
•5—UiWriteClipboard
•6—CredEnumerate
•7—CredReadDomainCredentials
•8—CredFindBestCredential
•9—CredBackupCredentials
•10—CredRead
•11—CredReadByTokenHandle
•12—VaultEnumerateCredentials
•21845—RawSocketCreated1
•21846—SocketFilterAttached1 |
1 仅限 Linux
示例
<operations>
<operation type="SystemApiCall">
<condition component="ApiCall" property="ApiName" condition="is" value="RegisterRawInputDevices"/>
</operation>
</operations>
|
支持的行动
•SystemApiCall |
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
TcpIpAccept
已接受传入的 TCP/IP 连接。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• 网络
返回有关网络事件的信息
属性
|
类型
|
说明
|
示例
|
DestinationIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 目标地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 目标地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
目标主机名
仅支持 TCP IP 事件。
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
连接为入站连接
|
true/false
|
IpAddressV4
|
Ipv4 地址
|
事件的 Ipv4 地址目标。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 地址
|
事件的 Ipv6 地址目标。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 目标端口
|
8080
|
Protocol
|
String
|
连接使用的协议
|
HTTP, HTTPS 等
|
SourceIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 源地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 源地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
如果请求涉及 URL（即 HTTP 请求）
支持 HTTP 请求和检测。
|
目标 URL
|
示例
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
支持的行动
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
TcpIpConnect
已建立出站 TCP/IP 连接。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• 网络
返回有关网络事件的信息
属性
|
类型
|
说明
|
示例
|
DestinationIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 目标地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 目标地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
目标主机名
仅支持 TCP IP 事件。
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
连接为入站连接
|
true/false
|
IpAddressV4
|
Ipv4 地址
|
事件的 Ipv4 地址目标。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 地址
|
事件的 Ipv6 地址目标。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 目标端口
|
8080
|
Protocol
|
String
|
连接使用的协议
|
HTTP, HTTPS 等
|
SourceIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 源地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 源地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
如果请求涉及 URL（即 HTTP 请求）
支持 HTTP 请求和检测。
|
目标 URL
|
示例
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
支持的行动
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
TcpIpProtocolIdentified
在 TCP/IP 连接之上，描述使用的协议。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• 网络
返回有关网络事件的信息
属性
|
类型
|
说明
|
示例
|
DestinationIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 目标地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
DestinationIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 目标地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Hostname
|
String
|
目标主机名
仅支持 TCP IP 事件。
|
server2.domain.lan
go.microsoft.com
weathermapdata.blob.core.windows.net
gitlab.com
|
Inbound
|
Bool
|
连接为入站连接
|
true/false
|
IpAddressV4
|
Ipv4 地址
|
事件的 Ipv4 地址目标。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
IpAddressV6
|
Ipv6 地址
|
事件的 Ipv6 地址目标。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Port
|
Int
|
TCP/UDP 目标端口
|
8080
|
Protocol
|
String
|
连接使用的协议
|
HTTP, HTTPS 等
|
SourceIpAddressV4
|
Ipv4 地址
|
防火墙检测的 Ipv4 源地址。支持掩码。
|
192.168.0.1，支持掩码 - 192.168.0.0/16
|
SourceIpAddressV6
|
Ipv6 地址
|
防火墙检测的 Ipv6 源地址。支持掩码。
|
2001:db8:85a3:8d3:1319:8a2e:370:0，支持掩码 - 2001:db8:85a3:8d3:1319:8a2e:370:0/112
|
Url
|
String
|
如果请求涉及 URL（即 HTTP 请求）
支持 HTTP 请求和检测。
|
目标 URL
|
示例
<definition>
<operations>
<operation type="TcpIpConnect">
<operator type="or">
<condition component="Network" property="IpAddressV4" condition="is" value="10.0.0.0/8" />
<condition component="Network" property="IpAddressV4" condition="is" value="172.16.0.0/12" />
<condition component="Network" property="IpAddressV4" condition="is" value="192.168.0.0/16" />
<condition component="Network" property="IpAddressV4" condition="is" value="127.0.0.0/8" />
<condition component="Network" property="IpAddressV6" condition="is" value="::1/128" />
<condition component="Network" property="IpAddressV6" condition="is" value="fc00::/7" />
</operator>
</operation>
</operations>
</definition>
|
支持的行动
•Detection
•HttpRequest
•TcpIpAccept
•TcpIpConnect
•TcpIpProtocolIdentified |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
TruncateFile
已截断文件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
UnloadDriver
已卸载驱动程序或内核模块。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
UserActivate
已激活用户。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserAddToGroup
用户已添加到组。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
与 UserLogonData 相同，但具有关于组的数据的属性。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserAddToGroup
•UserRemoveFromGroup |
UserCreate
已创建新用户。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserDisable
已禁用用户。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserLogin
用户已登录。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
与用户活动相关的事件（创建用户、登录…），以及有关这些事件的信息。
属性
|
类型
|
说明
|
示例
|
Hostname
|
String
|
执行登录尝试的计算机名称
|
|
IpAddressV4
|
Ipv4 地址
|
执行登录尝试的计算机的 IPv4 地址
|
|
IpAddressV6
|
Ipv6 地址
|
执行登录尝试的计算机的 IPv6 地址
|
|
LogonType
|
Symbol
|
登录类型
|
可能的值为：
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
远程计算机执行登录尝试时所使用的源端口
|
|
支持的行动
•UserLogin
•UserLogout |
UserLogout
用户已注销。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserLogonData
与用户活动相关的事件（创建用户、登录…），以及有关这些事件的信息。
属性
|
类型
|
说明
|
示例
|
Hostname
|
String
|
执行登录尝试的计算机名称
|
|
IpAddressV4
|
Ipv4 地址
|
执行登录尝试的计算机的 IPv4 地址
|
|
IpAddressV6
|
Ipv6 地址
|
执行登录尝试的计算机的 IPv6 地址
|
|
LogonType
|
Symbol
|
登录类型
|
可能的值为：
•0—Unknown
•2—Interactive
•3—Network
•4—Batch
•5—Service
•7—Unlock
•8—NetworkCleartext
•9—NewCredentials
•10—RemoteInteractive
•11—CachedInteractive
•12—CachedRemoteInteractive |
Port
|
Int
|
远程计算机执行登录尝试时所使用的源端口
|
|
支持的行动
•UserLogin
•UserLogout |
UserRemove
已删除用户。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
UserRemoveFromGroup
已从组中删除用户。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• DoneByUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• TargetUser
目标用户。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserActivate
•UserAddToGroup
•UserCreate
•UserDisable
•UserLogin
•UserLogout
•UserRemove
•UserRemoveFromGroup |
• UserGroupData
与 UserLogonData 相同，但具有关于组的数据的属性。
属性
|
类型
|
说明
|
示例
|
Sid
|
String
|
给定事件背后的用户（帐户 SID）
|
|
SidNameUse
|
Symbol
|
给定事件背后的组（其 SID 类型）
|
组包括：
•1—User
•2—Group
•3—Domain
•4—Alias
•5—WellKnownGroup
•6—DeletedAccount
•7—Invalid
•8—Unknown
•9—Computer
•10—Label
•11—LogonSession |
UserName
|
String
|
给定事件背后的用户（帐户名称）
|
|
支持的行动
•UserAddToGroup
•UserRemoveFromGroup |
VirtualDiskMounted
已执行 VirtualDiskMount 中的事件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
WmiExecution
已触发 WMI 执行事件。
支持的组件：
• ClientEnterprise
ClientEnterprise 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
支持的行动
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
支持的行动
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
Age
|
Int
|
自可执行文件首次在 ESET LiveGrid 中出现以来的天数。天数四舍五入为周、月、半年、年等对等时间。
|
|
Reputation
|
Int
|
声誉等级上的数字。数字越大，越受信任
|
可能的值为：
•9, 8 - 受信任
•7, 6 - 正常
•5, 4 - 高风险
•3 - PUA，未知（ESET LiveGrid 未看到）
•2, 1 - 恶意软件 |
Popularity
|
Int
|
ESET LiveGrid 已在其上看到可执行文件的计算机数量。它四舍五入为 10、100、1000、10000 等数字。在被检测到之前，恶意软件通常不会超过 1000 受欢迎度。
|
|
支持的行动
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0 - RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo 只能与具有客户端进程的 WmiExecution、WmiQuery 和 CodeInjection 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
支持的行动
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• WmiExecutionInfo
WMI 执行事件仅在调用 WMI 方法 Win32_process.create() 时发生。
属性
|
类型
|
说明
|
ClassName
|
String
|
包含触发的方法的类
|
ClientMachineFQDN
|
String
|
客户端计算机的完全限定域名
|
CommandLine
|
String
|
以参数列表的形式发送给方法的命令行
|
IsLocal
|
Bool
|
确定是本地调用还是远程调用方法
|
MethodName
|
String
|
触发的方法
|
示例
<rule>
<definition>
<operations>
<operation type="WmiExecution" >
<condition component="WmiExecutionInfo" property="CommandLine" condition="is" value="notepad.exe"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Execution event where argument is notepad.exe</name>
<category>Default</category>
</description>
</rule>
|
支持的行动
•WmiExecution |
WmiPersistence
当使用者绑定到过滤器时，将生成该事件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• WmiPersistenceInfo
当使用者绑定到过滤器时，将生成该事件。
属性
|
类型
|
说明
|
EventConsumerName
|
String
|
当特定事件到达时触发操作的使用者的名称
|
EventFilterName
|
String
|
使用的 EventFilter 的名称
|
Handler
|
String
|
事件使用者执行的命令行
|
Query
|
String
|
事件过滤器中的查询，用于捕获应执行操作的事件
|
TriggeringUserName
|
String
|
用户名，该用户触发了由过滤器匹配的事件
|
TriggeringUserSid
|
String
|
触发用户的安全 ID
|
TriggeringUserSidNameUse
|
Int
|
触发用户的 SID 类型
|
示例
<rule>
<definition>
<operations>
<operation type="WmiPersistence" >
<condition component="WmiPersistenceInfo" property="TriggeringUserName" condition="is" value="domain\user.name"/>
</operation>
</operations>
</definition>
<description>
<name>WMI Persistence event triggered by user.name</name>
<category>Default</category>
</description>
</rule>
|
支持的行动
•WmiPersistence |
WmiQuery
已在计算机上执行 WMI 查询。
支持的组件：
• ClientEnterprise
ClientEnterprise 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
支持的行动
•WmiExecution
•WmiQuery |
• ClientFileItem
ClientFileItem 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
支持的行动
•WmiExecution
•WmiQuery |
• ClientLiveGrid
ClientLiveGrid 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
Age
|
Int
|
自可执行文件首次在 ESET LiveGrid 中出现以来的天数。天数四舍五入为周、月、半年、年等对等时间。
|
|
Reputation
|
Int
|
声誉等级上的数字。数字越大，越受信任
|
可能的值为：
•9, 8 - 受信任
•7, 6 - 正常
•5, 4 - 高风险
•3 - PUA，未知（ESET LiveGrid 未看到）
•2, 1 - 恶意软件 |
Popularity
|
Int
|
ESET LiveGrid 已在其上看到可执行文件的计算机数量。它四舍五入为 10、100、1000、10000 等数字。在被检测到之前，恶意软件通常不会超过 1000 受欢迎度。
|
|
支持的行动
•WmiExecution
•WmiQuery |
• ClientModule
ClientModule 只能与具有客户端进程的 WmiExecution 和 WmiQuery 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
AugurScore
|
Int
|
ESET 机器学习引擎的得分。可能的值为 0 至 99
|
67
|
CompanyName
|
String
|
版本信息中，生成文件的公司的名称
|
"Microsoft Corporation"
|
DaysSinceLastNearMiss
|
Int
|
自文件被认定为险情以来的天数。
Nearmiss - 检测是由于恶意软件而触发的，但它可能是误报（我们不能保证它是恶意软件）
|
|
EmulationStatus
|
Int
|
文件模拟的状态（如果文件是通过高级启发式扫描模拟的）
|
0 - 未模拟
1 - 已模拟
|
FileDescription
|
String
|
版本信息中，向用户显示的文件说明
|
"Microsoft Windows Resource Leak Diagnostic"
|
FileOrigin
|
Symbol
|
通过 RDP 传送的文件
|
可能的值为：
0 - RDP
|
FileSize
|
Int
|
以字节为单位的文件大小
|
41984
|
FileVersion
|
String
|
版本信息中，文件的版本号
|
"10.0.14393.0"
|
InternalName
|
String
|
版本信息中，文件的内部名称
|
"RdrLeakDiag.exe"
|
IsDLL
|
Bool
|
该文件是 PE DLL
|
true/false
|
IsElf
|
Bool
|
该文件是 ELF 文件
|
true/false
|
IsExe
|
Bool
|
该文件为可执行文件
|
true/false
|
IsMacho
|
Bool
|
定义某一文件是否为 Mach-O (macOS) 文件
|
true/false
|
IsNative
|
Bool
|
该文件是本机 PE 可执行文件
|
true/false
|
isPe
|
Bool
|
该文件是 Windows 可执行文件
|
true/false
|
MD5
|
Hash
|
可执行文件的 md5 哈希
|
|
MachoIsProtected
|
Bool
|
模块是受保护的 Mach-O 可执行文件
|
|
MachoSignatureId
|
String
|
签名中存在的 Mach-O 文件的标识符
|
"com.apple.ls"
|
MachoSignerCns
|
字符串集
|
Mach-O 文件的证书中的常用名称集
|
|
MachoUserId
|
String
|
Apple 分配的唯一开发者 ID
|
|
OriginalFileName
|
String
|
版本信息中，文件的原始名称
|
"RdrLeakDiag.exe"
|
PackerName1
|
String
|
加壳程序的名称
|
"UPX"
|
ProductName
|
String
|
版本信息中，用于分发文件的产品的名称
|
"Microsoft Windows Operating System"
|
ProductVersion
|
String
|
版本信息中，用于分发文件的产品的版本号
|
"10.0.14393"
|
SFXName
|
String
|
sfx 加壳程序的名称
|
"Zip"
|
Sha1
|
Hash
|
可执行文件的 sha1 哈希
|
fa7ebffd41bc44c47ea1b11928ee368c19f6d6a2
|
Sha256
|
Hash
|
可执行文件的 sha256 哈希
|
|
SignatureType
|
Symbol
|
可执行文件的签名类型
|
可能的值为：
•90—Trusted - 签名受 Endpoint 信任
•80—Valid - 签名受操作系统信任
•75—Adhoc - 证书是自签名的
•70—None - 文件中没有签名
•60—Invalid - 签名无效/损坏/撤销
•50—Present - 签名存在，但证书状态未知
•50—Unknown - 无法验证证书 |
SignerName
|
String
|
签名者姓名（如有）
|
"Microsoft Windows"
|
Tags
|
String
|
允许用户按附加了指定标记的模块进行过滤
|
|
Whitelist
|
Symbol
|
可执行文件的白名单类型
|
可能的值为：
•0—None - 此文件没有白名单
•1—Authoritative - 文件被 Endpoint 列入白名单
•2—LiveGrid - 文件已从 ESET LiveGrid 列入白名单
•3—Certificate - 文件证书已列入白名单 |
|
|
1加壳程序的名称将来可能会发生更改。因此，我们建议针对此情况使用 isnotempty 或 isempty 值。
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
•WmiExecution
•WmiQuery |
• ClientProcessInfo
ClientProcessInfo 只能与具有客户端进程的 WmiExecution、WmiQuery 和 CodeInjection 操作结合使用。客户端进程是实际执行 WMI 方法的进程。
属性
|
类型
|
说明
|
示例
|
CaseSensitiveCommandLine
|
String
|
允许为区分大小写的命令行创建规则
|
|
CommandLine
|
String
|
进程命令行
|
file.txt
|
CommandLineLength
|
Int
|
命令行的长度
|
123
|
Compromised
|
Bool
|
规则使用 MarkAsCompromised 操作将进程标记为已损坏
|
true/false 或 1/0
|
IntegrityLevel
|
Symbol
|
进程的完整性级别
|
可能的值为：
•0—Untrusted
•4096—Low
•8192—Medium
•12288—High
•16384—System
•20480—Protected process |
LnkPath
|
String
|
包含快捷执行的路径
|
|
ProcessDistance
|
Int
|
进程与当前进程的距离
|
123
|
ProcessLevel
|
Int
|
进程在进程层次结构中的深度
|
123
|
ProcessOwner
|
String
|
创建进程的用户
|
|
RiskScore
|
Int
|
端点上会跟踪每个进程的评分。您可以使用 IncreaseParentRiskScore 或 IncreaseRiskScore 操作，按设定量增加该值。当达到风险评分阈值时，将触发 KillParentProcess 或 KillProcess 操作。您可以通过“策略”>“ESET Inspect Connector”>“高级设置”来指定风险评分阈值。风险评分会在特定时间段（默认为 6 小时）后重置。
|
1000
|
支持的行动
•Codeinjection
•WmiExecution
•WmiQuery |
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
• WmiQueryInfo
当用户或服务在系统上触发查询时，会发生 WMI 查询事件。
属性
|
类型
|
说明
|
ClientMachineFQDN
|
String
|
客户端计算机的完全限定域名
|
IsLocal
|
Bool
|
如果为 false，则从远程计算机调用查询（例如，使用 WbemTest）
|
Query
|
String
|
在系统中触发了查询
|
示例
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<operations>
<operation type="WmiQuery">
<condition component="WmiQueryInfo" property="Query" condition="contains" value="win32_service" />
</operation>
</operations>
</definition>
<description>
<name>Example WMI query event</name>
<explanation>
This tag supports markdown and html syntax.
It is also true for maliciousCauses, benignCauses and recommendedActions tags.
</explanation>
<maliciousCauses>
Content of tags with HTML text must be surrounded with CDATA xml tag.
</maliciousCauses>
<category>
Default
</category>
</description>
</rule>
|
支持的行动
•WmiQuery |
WriteFile
已写入文件。
支持的组件：
• DateTime
允许您编写仅在指定时间触发的规则。
属性
|
类型
|
说明
|
示例
|
DayOfWeek
|
Int
|
仅在一周中的某些日子触发规则
|
可能的值为：
•0—Sunday
•1—Monday
•2—Tuesday
•3—Wednesday
•4—Thursday
•5—Friday
•6—Saturday |
Hour
|
Int
|
仅在一天中的某些时间触发规则。可能的值为 0 至 23
|
12
|
Minute
|
Int
|
仅在一天中的某些时间触发规则。
可能的值为 0 至 59
|
30
|
示例
每次在周一至周五上午 9 点至下午 5 点之间打开记事本时，都会触发此规则。
<definition>
<process>
<operator type="and">
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="Notepad" />
<condition component="DateTime" property="Hour" condition="greaterOrEqual" value="9" />
<condition component="DateTime" property="Hour" condition="lessOrEqual" value="17" />
<condition component="DateTime" property="DayOfWeek" condition="greaterOrEqual" value="1" />
<condition component="DateTime" property="DayOfWeek" condition="lessOrEqual" value="5" />
</operator>
</process>
</definition>
|
支持的行动
所有操作都支持 DateTime 组件。
|
• EnterpriseInspector
提供有关连接器的信息。
属性
|
类型
|
说明
|
示例
|
VersionString
|
String
|
连接器的版本字符串。
|
1.9.2385
|
VersionMajor
|
Int
|
连接器的主版本。
|
1
|
VersionMinor
|
Int
|
连接器的次版本。
|
9
|
BuildNumber
|
Int
|
连接器的内部版本号。
|
2385
|
支持的行动
所有操作都支持 EnterpriseInspector 组件。
|
• FileItem
返回有关当前文件的信息
属性
|
类型
|
说明
|
示例
|
ADS
|
String
|
路径的 ADS 部分
|
C:\windows\system32\notepad.exe:example -> example
|
Extension
|
String
|
文件扩展名
|
C:\windows\system32\notepad.exe -> exe
|
FileName
|
String
|
带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad.exe
|
FileNameWithoutExtension
|
String
|
不带文件扩展名的文件名
|
C:\windows\system32\notepad.exe -> notepad
|
FullPath
|
Path
|
包含文件名的文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\notepad.exe
|
NameLength
|
Int
|
名称的长度
|
C:\windows\system32\notepad.exe -> 7
|
Path
|
Path
|
文件路径
|
C:\windows\system32\notepad.exe -> C:\windows\system32\
|
isSelf
|
Bool
|
如果操作是由文件本身完成的，则触发（常见于恶意软件自行删除）
|
true/false
|
Canary 文件
Path 属性具有用于 Canary 文件的特殊变量。用于指定 Canary 文件路径的值为 %CanaryFile%。
<definition>
<operations>
<operation type="WriteFile">
<condition component="FileItem" property="Path" condition="is" value="%CanaryFile%" />
</operation>
</operations>
</definition>
|
支持的行动
•Codeinjection
•CreateNamedPipe
•CreateProcess
•DeleteFile
•LoadDLL
•LoadDriver
•ModuleDrop
•OpenProcess
•ReadFile
•RenameFile
•ScheduledTaskAdded
•ServiceInstalled
•ServiceStarted
•SetFileAttribute
•TruncateFile
•UnloadDriver
•VirtualDiskMounted
•WmiExecution
•WriteFile |
• SystemInfo
事件所来自的系统的相关信息。
属性
|
类型
|
说明
|
示例
|
isServer
|
Bool
|
表示系统是否为服务器
|
False - 不是服务器
True - 是服务器
|
SystemArchitecture
|
Symbol
|
系统架构的类型
|
要匹配 32 位架构，请使用以下项之一：
•32
•32bit
•x86
•0
要匹配 64 位架构，请使用以下项之一：
•64
•x64
•64bit
•amd64
•x86-64
•1 |
SystemType
|
Symbol
|
触发了事件的操作系统类型
|
要匹配 Windows 系统，请使用以下项之一：
•Windows
•Win
•0
要匹配 MacOS 系统，请使用以下项之一：
•macOs
•macOsx
•Osx
•1
要匹配 Linux 系统，请使用以下项：
•2 |
SystemVersion
|
String
|
包含主号和次号的整个系统版本
|
|
Tags
|
字符串集
|
分配给该特定系统的标记
|
|
集合类型（IPv4 地址集合、IPv6 地址集合、字符串集合、符号集合）支持的条件，列于属性类型和关系表的值集合下。
支持的行动
所有操作都支持 SystemInfo 组件。
|
|
|
早期版本的 Windows 不会生成 WMI 事件。此功能自 Windows 10 版本 1803 便已开始提供。
某些事件仅提供部分信息：
•文件写入事件 - 仅记录第一个文件更改（这取决于进程。如果两个进程更改了同一文件，则记录这两个更改）
•注册表相关事件 - 仅记录第一个注册表项更改（第一次由进程记录）
•DLLLoad - 仅记录未被 AV 列入白名单的 DLL
•TcpIp 事件 - 仅记录第一个连接（第一次由进程记录）
•Http 事件 - 仅记录第一个请求（第一次由进程记录）
•ModuleDrop（又名 PEDrop）- 仅在首次删除给定模块时报告（首次在计算机上报告）
•AmsiTriggerEvent - 仅记录第一次执行（首次在计算机上记录） |
