作業

BitsJobAddFile

已將檔案新增至 BITS 工作。

支援的元件：

• BitsJobAddFile

• DateTime

CodeInjection

某個程序遭受某種形式的程式碼注入。

支援的元件：

• ClientProcessInfo

• CodeInjectionInfo

• DateTime

• 企業

• FileItem

• 模組

• ProcessInfo

• ServiceProcessInfo

CreateNamedPipe

已建立具名管道 (named pipe)。

支援的元件：

• DateTime

• FileItem

CreateProcess

已建立處理程序。

支援的元件：

• DateTime

• 企業

• FileItem

• 模組

• ProcessInfo

• ServiceProcessInfo

DeleteFile

檔案已刪除。

支援的元件：

• DateTime

• FileItem

DeleteVolumeShadowCopy

磁碟區的陰影複製已被刪除。

支援的元件：

• DateTime

• VolumeShadowCopyInfo

DnsRequest

已發出 DNS 請求（通常為 IP > 網域、網域 > IP）。

支援的元件：

• DateTime

• DnsInfo

HttpRequest

已發出 HTTP 請求。

支援的元件：

• DateTime

• 網路

LoadDLL

已載入 DLL。

支援的元件：

• DateTime

• 企業

• FileItem

• 模組

• ProcessInfo

• ServiceProcessInfo

LoadDriver

已載入驅動程式或核心模組。

支援的元件：

• DateTime

• FileItem

• 模組

ModuleDrop

已釋放一個執行檔。

支援的元件：

• DateTime

• 企業

• FileItem

• 模組

MultipleFilesChanged

處理程序修改了多個檔案。

支援的元件：

• DateTime

• ProcessBehavior

OpenProcess

新增了一個規則屬性，會在處理程序被開啟時觸發。只有開啟至 lsass.exe 的程序會受到監控。

支援的元件：

• DateTime

• FileItem

• OpenProcess

ReadFile

當受監控的檔案被讀取時觸發。被監控檔案指的是包含敏感資訊或儲存憑證的檔案，例如儲存的瀏覽器密碼、儲存的 FTP 用戶端密碼、AD 資料庫等等。

支援的元件：

• DateTime

• FileItem

RegDeleteKey

登錄機碼已刪除。

支援的元件：

• DateTime

RegDeleteValue

登錄檔的值已被刪除。

支援的元件：

• DateTime

RegRenameKey

登錄機碼已重新命名。

支援的元件：

• DateTime

RegSetValue

登錄機碼遭到變更。

支援的元件：

• DateTime

RenameFile

檔案已重新命名。

支援的元件：

• DateTime

•

• FileItem

ScheduledTaskAdded

已新增排程工作。

支援的元件：

• DateTime

• FileItem

• ScheduledTask

Scripts

已執行由 AMSI 公開的指令碼。

支援的元件：

• DateTime

• 指令碼

ServiceInstalled

已安裝服務。

支援的元件：

• DateTime

• FileItem

• 服務

ServiceStarted

服務已啟動。

支援的元件：

• DateTime

• FileItem

• 服務

SetFileAttribute

已設定檔案屬性。

支援的元件：

• DateTime

• FileAttribute

• FileItem

SystemApiCall

已呼叫系統函式。

支援的元件：

• ApiCall

• DateTime

TcpIpAccept

已接受一個傳入的 TCP/IP 連線。

支援的元件：

• DateTime

• 網路

TcpIpConnect

已建立輸出 TCP/IP 連線。

支援的元件：

• DateTime

• 網路

TcpIpProtocolIdentified

在 TCP/IP 連線之上，說明所使用的協定。

支援的元件：

• DateTime

• 網路

TruncateFile

檔案已遭截斷。

支援的元件：

• DateTime

• FileItem

UnloadDriver

已卸載驅動程式或核心模組。

支援的元件：

• DateTime

• FileItem

UserActivate

使用者已啟動。

支援的元件：

• DateTime

UserAddToGroup

使用者已新增至群組。

支援的元件：

• DateTime

• UserGroupData

UserCreate

已建立新使用者。

支援的元件：

• DateTime

UserDisable

使用者已被停用。

支援的元件：

• DateTime

UserLogin

使用者已登入。

支援的元件：

• DateTime

• UserLogonData

UserLogout

使用者已登出。

支援的元件：

• DateTime

• UserLogonData

UserRemove

使用者已移除。

支援的元件：

• DateTime

UserRemoveFromGroup

使用者已從群組移除。

支援的元件：

• DateTime

• UserGroupData

VirtualDiskMounted

已執行來自 VirtualDiskMount 的事件。

支援的元件：

• DateTime

• FileItem

WmiExecution

已觸發 Windows Management Instrumentation 執行事件。

支援的元件：

• ClientEnterprise

• ClientFileItem

• ClientLiveGrid

• ClientModule

• ClientProcessInfo

• DateTime

• FileItem

• WmiExecutionInfo

WmiPersistence

當取用者繫結至篩選器時，會產生此事件。

支援的元件：

• DateTime

• WmiPersistenceInfo

WmiQuery

已在電腦上執行 Windows Management Instrumentation 查詢。

支援的元件：

• ClientEnterprise

• ClientFileItem

• ClientLiveGrid

• ClientModule

• ClientProcessInfo

• DateTime

• WmiQueryInfo

WriteFile

有檔案被寫入。

支援的元件：

• DateTime

• FileItem