Перейти к основному содержимому

Дополнительные поля событий аудита

Тип события «Идентификация и аутентификация»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
administrator_
permissions
(Наличие прав администратора)		Administrator
Permissions		administrator_
permissions		Одно из значений:
да, если субъект доступа пользователь с ролью "Администратор";
нет, если иначе.
source_network_
address
(Сетевой адрес источника входа)		sourceNetwork
Address		source_network_
address		IP-адрес субъекта доступа. IPv4/IPv6-адрес.

Тип события «Обновление группы правил»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
rules_version
(Версия базы решающих правил)		rulesVersionrules_versionДата и время регистрации события.

Тип события «Администрирование»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
rules_version
(Версия базы решающих правил)		rulesVersionrules_versionДата и время регистрации события.
Action
(Действие)		NameТип действияКраткое описание действия, совершенного субъектом доступа над объектом доступа.
Текст

Тип события «Контроль целостности»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
object_type
(Тип объекта)		objectTypeobject_typeОдно из значений:
сервис;
группа записей;
запись.
resource_name
(Имя ресурса)		resourceNameresource_nameЗависит от object_type:
сервис – ID сервиса;
группа записей
ID группы;
запись – путь.
control_method
(Метод контроля)		ControlMethodcontrol_methodМетод контроля объекта. Определяется по настройкам хэширования, заданным для объекта на сервере контроля целостности.
Одно или несколько из следующих значений, перечисленных через запятую:
content;
permissions;
size.
reaction_type
(Тип реакции)		reactionTypereaction_typeКонстанта: Регистрация события
checksum_
calculation_algorithm_
name
(Наименование алгоритма расчета контрольных сумм)		checksumCalculationAlgorithmNamechecksum_calculation_
algorithm_name		Константа: SHA256
checksum_reference_
value
(Эталонное значение контрольной суммы)		checksumReferenceValuechecksum_reference_
value		Если object_type = запись и (eventName = целостность объекта подтверждена или
целостность объекта нарушена), то значение – результирующее значение КС. иначе – пусто.
checksum_current_value
(Текущее значение контрольной суммы)		checksumCurrent
Value		checksum_current_
value		Аналогично checksum_reference_value

Тип события «Контроль целостности» (integrity-cli)​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
os.user_
displayname		os.userDisplaynameos.user_displaynameОтображаемое имя пользователя в ОС (первое слово в поле GECOS в строке с информацией о пользователей в файле /etc/passwd)
os.gidosGidos.gidID основной группы пользователя в ОС
os.uidos.Uidos.uidID пользователя в ОС
os.usernameosUsernameos.usernameЛогин пользователя в ОС

Тип события «Управление журналами событий безопасности»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
Name
(Тип действия)		ActionActionКраткое описание действия, совершенного субъектом доступа над объектом доступа.
Текст
log_type
(Тип журнала)		logTypelog_typeКонстанта: Журнал Уведомления

Тип события «Сбой/Отказ функционирования»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
Error
(Ошибка)		eventErrorErrorОписание возникшей ошибки. Текст
Message
(Сообщение)		msgMessageВспомогательная информация. Текст
sink_namesinkNamesink_nameДля событий "Ошибка при отправке данных"
Название подключения
sink_typesinkTypesink_typeДля событий "Ошибка при отправке данных"
Тип подключения:
firewall (подключения к МЭ);
http;
clickhouse;
socket.

Тип события «Уведомления»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
notice.created_at
(Дата и время)		notice.createdAtnotice.created_atДата и время генерации уведомления.
Формат: Дата и время (как у Timestamp)
notice.id
(ID уведомления)		notice.idnotice.idID уведомления.
Формат: уникальная последовательность чисел
notice.namenoticeNamenotice.nameДля уведомлений по фильтрам – заголовок уведомления.
Для уведомлений вида "ARP-сканирование" формат: <Заголовок>. <Детали уведомления> на английском языке. Пример: ARP scan. Host de🇩🇪de:a2:90:76 (10.0.5.159) sent 15 or more requests to unique IP targets within 6 seconds. Possible ARP scanning activity.
notice.related_sensorsnotice.related_sensorsСвязанные сенсоры.
массив UUID сенсоров. Пример: ["eda744bd-6859-523a-8bce-f89abf2cb51e","47fe7c32-ccdc-5978-82c3-9f73845b12ec","98231720-004b-52a3-9084-bc34be3d521c","b3ac40d6-0ba9-58e3-909a-052a614773fe"]
notice.severity
(Уровень опасности)		notice.severitynotice.severityУровень опасности, присвоенный уведомлению.
Одно из значений:
critical – Критический;
high – Высокий;
medium – Средний;
low – Низкий.
notice.type
(Тип источника уведомления)		notice.typenotice.typeОдно из значений:
zeek_notice, если тип источника – Zeek;
flow_filter, если тип источника – сохраненные фильтры.

Тип события «Уведомления по фильтру» дополнительные поля​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
notice.dslnotice.dslnotice.dslВыражение фильтрации, на основе которого создано уведомление. Текст.
notice.search_
condition.amount		notice.search
Condition.amount		notice.search_
condition.amount		Пороговое значение:
Число – если notice.search_condition.object =
flows | attacks;
Число + B – в остальных случаях.
notice.search_
condition.comparison		notice.search Condition.
comparison		notice.search_
condition.comparison		Одно из значений:
more (больше);
less (меньше).
notice.search_
condition.object		notice.search
Condition.object		notice.search_
condition.object		Отслеживаемый показатель.
Одно из значений:
flows (сессии);
attacks (атаки);
bytes_total (общий трафик);
bytes_sent (трафик от отправителей);
bytes_received (трафик от получателей).
notice.search_
frequency		notice.search
Frequency		notice.search_frequencyЧастота проверки.
Формат: "<Число><Ед. измерения>"
<Ед. измерения>:
m – минуты;
h – часы;
d – дни.
notice.search_
interval
(Интервал)		notice.searchIntervalnotice.search_intervalИнтервал.
Формат: «<Число><Ед. измерения>»
<Ед. измерения>:
m – минуты;
h – часы;
d – дни.

Тип события «Уведомления вида ARP-сканирование»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
notice.arp.target_ips
(Цели)		notice.arp.target_ipsnotice.arp.target_ipsМассив IP-адресов
пример:
["10.0.5.167","10.0.5.148"]

Тип события «Другое»​

В интерфейсе EsensorВ CEFВ CSVОписание и возможные значения
notice.arp.target_ips
(Цели)		notice.arp.target_ipsnotice.arp.target_ipsМассив IP-адресов
пример:
["10.0.5.167","10.0.5.148"]
Последнее обновление