Push event JSON RPC мессежүүд — 2-р хэсэг: Firewall ба бусад event-үүд

← Үндсэн хуудас

Firewall (Галт хана)

Энэ event нь endpoint дээрх агент, хэрэглэгдэж буй бодлогын дагуу port scan эсвэл аппликейшний сүлжээнд хандалтыг хаахад үүснэ.

Параметрүүд:

• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: fw
• product_installed — string; заавал; Суулгасан GravityZone бүрэлдэхүүн хэсгийн тодорхойлогч
• companyId — string; заавал; Компанийн тодорхойлогч
• computer_name — string; заавал; Компьютерийн нэр
• computer_fqdn — string; заавал; FQDN
• computer_ip — string; заавал; IP хаяг
• computer_id — string; заавал; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• status — string; заавал; Төлөв
• local_port — string; заавал биш; Локал port
• protocol_id — string; заавал биш; Protocol Number-д заасны дагуу, хортой программын халдлагын протоколын тодорхойлогч
• application_path — string; заавал биш; Аппликейшний зам
• source_ip — string; заавал биш; Эх сурвалжийн IP хаяг
• last_blocked — timestamp; заавал; Энэ холболтыг хамгийн сүүлд хаасан цаг
• count — integer; заавал; Энэ холболт хэдэн удаа илэрсэн

Жишээ:

{
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "companyId": "59a14b271da197c6108b4567",
                "computer_name": "FC-WIN7-X64-01",
                "computer_fqdn": "fc-win7-x64-01",
                "computer_ip": "192.168.0.1",
                "computer_id": "59a1604e60369e06733f8abb",
                "product_installed": "BEST",
                "status": "portscan_blocked",
                "protocol_id": "6",
                "source_ip": "192.168.0.2",
                "last_blocked": "2017-09-08T12:52:03.000Z",
                "count": 1,
                "module": "fw"
            }
        ]
    },
    "id": 1504875129648
}

Hyper Detect event (Hyper Detect модулийн илрүүлэлт)

Hyper Detect модуль хортой программ илрүүлэхэд үүсэх event.

Параметрүүд:

• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: hd
• product_installed — string; заавал; Суулгасан GravityZone бүрэлдэхүүн хэсгийн тодорхойлогч
• companyId — string; заавал; Компанийн тодорхойлогч
• computer_name — string; заавал; Компьютерийн нэр
• computer_fqdn — string; заавал; FQDN
• computer_ip — string; заавал; IP хаяг
• computer_id — string; заавал; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• malware_type — string; заавал; Илэрсэн хортой программын төрөл: file, http, cookie, pop3, smtp, process, boot, registry, stream
• malware_name — string; заавал; Хортой программын нэр
• hash — string; заавал биш; Хортой файлын sha256 hash
• final_status — string; заавал; Файл дээр авсан үйлдлийн эцсийн төлөв: ignored, still present, deleted, blocked, quarantined, disinfected, restored
• container_id — string; заавал биш; Container-ийн тодорхойлогч
• container_host — string; заавал биш; Container-ийг удирддаг host-ын нэр
• file_path — string; заавал; Хортой файлын зам
• attack_type — string; заавал биш; Утгууд: targeted attack, grayware, exploits, ransomware, suspicious files and network traffic
• detection_level — string; заавал биш; Утгууд: permissive, normal, aggressive
• is_fileless_attack — string; заавал биш; Файлгүй халдлага бол True
• command_line_parameters — string; заавал биш; Командын мөрийн параметрүүд
• process_info_path — string; заавал биш; Процессын зам
• process_info_command_line — string; заавал биш; Процессын командын мөрийн параметрүүд
• parent_process_id — integer; заавал биш; Эцэг процессын ID
• parent_process_path — string; заавал биш; Эцэг процессын зам
• hwid — string; заавал; Техник хангамжийн тодорхойлогч
• date — timestamp; заавал; Хортой программ илэрсэн цаг

Жишээ:

 {
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "module": "hd",
                "product_installed": "EPS",
                "user": {
                    "name": "admin",
                    "sid": "BF410F3B-5F3A-41E1-BF8F-28DE6948A355
"
                },
                "computer_name": "DHMSI",
                "computer_fqdn": "dhmsi",
                "computer_ip": "10.10.18.226",
                "computer_id": "5c4999491ddfad7177316f80",
                "malware_type": "file",
                "malware_name": "",
                "hash": "hash_3",
                "final_status": "quarantined",
                "file_path": "44e695d9ed259aea10e5b57145d0d0dc.bender",
                "attack_type": "suspicious files and network traffic",
                "detection_level": "normal",
                "is_fileless_attack": 1,
                "command_line_parameters": "a b c",
		"process_info_path": "C:\\a.exe",
		"process_info_command_line": "c:\\a.exe  -testParam",
		"parent_process_id": 1716,
		"parent_process_path": "C:\\Windows\\System32\\cmd.exe",
                "hwid": "00000000-0000-0000-0000-406186b5****",
                "companyId": "5c497704f9bf8d0b1b4df***",
                "date": "2019-01-24T11:13:04.000Z"
            }
        ]
    },
    "id": 1547719287349
}

Product Modules Status (Бүтээгдэхүүний модулиудын төлөв)

Суулгасан агентын аюулгүй байдлын модуль идэвхжих эсвэл идэвхгүй болоход үүсэх event.

Параметрүүд:

• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: modules
• product_installed — string; заавал; Суулгасан GravityZone бүрэлдэхүүн хэсгийн тодорхойлогч
• companyId — string; заавал; Компанийн тодорхойлогч
• computer_name — string; заавал; Компьютерийн нэр
• computer_fqdn — string; заавал; FQDN
• computer_ip — string; заавал; IP хаяг
• computerId — string; заавал; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• container_id — string; заавал биш; Container-ийн тодорхойлогч
• container_host — string; заавал биш; Container-ийг удирддаг host-ын нэр
• is_container_host — boolean; заавал биш; Машин container host мөн эсэх
• malware_status — boolean; заавал биш; Antimalware модуль
• aph_status — boolean; заавал биш; Antiphishing модуль
• firewall_status — boolean; заавал биш; Firewall модуль
• avc_status — boolean; заавал биш; Active Threat Control модуль
• ids_status — boolean; заавал биш; Нэвтрэлт илрүүлэх систем (Intrusion Detection System) модуль
• uc_web_filtering — boolean; заавал биш; Content Control-ийн Web Access Control модуль
• uc_categ_filtering — boolean; заавал биш; Content Control-ийн Web Categories Filtering модуль
• uc_application_status — boolean; заавал биш; Content Control-ийн Application Blacklisting модуль
• dp_status — boolean; заавал биш; Content Control-ийн Data Protection модуль
• pu_status — boolean; заавал биш; Power User модуль
• dlp_status — boolean; заавал биш; Device Control модуль
• exchange_av_status — boolean; заавал биш; Exchange Protection-ийн Antimalware модуль
• exchange_as_status — boolean; заавал биш; Exchange Protection-ийн Antispam модуль
• exchange_at_status — boolean; заавал биш; Exchange Protection-ийн Attachment filtering модуль
• exchange_cf_status — boolean; заавал биш; Exchange Protection-ийн Content filtering модуль
• exchange_od_status — boolean; заавал биш; Exchange Protection-ийн On demand scan модуль
• volume_encryption — boolean; заавал биш; Encryption модуль
• patch_management — boolean; заавал биш; Patch management модуль
• container_protection_status — boolean; заавал биш; Container Protection модуль
• network_monitor_status — boolean; заавал биш; Network Attack Defense модуль

Жишээ:

{
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "companyId": "59a14b271da197c6108b4567",
                "computer_name": "FC- WIN7 - X64 - 01",
                "computer_fqdn": "fc- win7 - x64 - 01",
                "computer_ip": "192.168.0.1",
                "computer_id": "59a1604e60369e06733f8abb",
                "product_installed": "BEST",
                "malware_status": 1,
                "aph_status": 1,
                "firewall_status": 1,
                "avc_status": 1,
                "uc_web_filtering": 0,
                "uc_categ_filtering": 0,
                "uc_application_status": 0,
                "dp_status": 0,
                "pu_status": 1,
                "dlp_status": 0,
                "module": "modules"
            }
        ]
    },
    "id": 1504871857671
}

Sandbox Analyzer Detection (Sandbox Analyzer-ийн илрүүлэлт)

Sandbox Analyzer илгээсэн файлуудаас шинэ аюул илрүүлэх бүрд үүсэх event.

Параметрүүд:

• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: network-sandboxing
• companyId — string; заавал; Компанийн тодорхойлогч
• endpointId — string; заавал; GravityZone-ийн өгөгдлийн сан дахь удирдагдаж буй endpoint-ийн тодорхойлогч
• deviceExternalId — string; заавал биш; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• submissionId — string; заавал биш; GravityZone network sandbox-ийн илгээлтийн ID
• computerName — string; заавал; Компьютерийн нэр
• computerIp — string; заавал; Компьютерийн IP хаяг
• detectionTime — integer; заавал; Илрүүлсэн цаг
• threatType — string; заавал; Аюулын төрөл
• filePaths — array; заавал; Файлын замууд (string-ийн массив)
• fileSizes — array; заавал; Файлын хэмжээ (string-ийн массив)
• remediationActions — array; заавал; Засч залруулах үйлдлүүд (string-ийн массив). Боломжит утгууд:

- 0 - disinfect (цэвэрлэх)
- 1 - delete (устгах)
- 2 - move (зөөх)
- 3 - reportOnly (зөвхөн мэдээлэх)

Жишээ:

 {
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "companyId": "59a14b271da197c6108b4567",
                "endpointId": "59a1604e60369e06733f8aba",
                "computerName": "FC-WIN7-X64-01",
                "computerIp": "192.168.0.1",
                "detectionTime": 1505386969,
                "threatType": "RANSOMWARE",
                "filePaths": [
                    "C:\\Users\\Administrator\\Documents\\installer.xml",
                    "D:\\opt\\bitdefender\\installer2.xml",
                    "D:\\sources\\console\\CommonConsole\\app\\modules\\policies\\view\\endpoints\\networkSandboxing\\installer3.xml"
                ],
                "fileSizes": [
                    "2614",
                    "2615",
                    "2616"
                ],
                "remediationActions": [
                    "1",
                    "",
                    "1"
                ],
                "module": "network-sandboxing"
            }
        ]
    },
    "id": 1505386971126
}

Product Registration (Бүтээгдэхүүний бүртгэл)

Сүлжээнд суулгасан агентын бүртгэлийн төлөв өөрчлөгдөхөд үүсэх event.

Параметрүүд:

• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: registration
• product_installed — string; заавал; Суулгасан GravityZone бүрэлдэхүүн хэсгийн тодорхойлогч
• companyId — string; заавал; Компанийн тодорхойлогч
• computer_name — string; заавал; Компьютерийн нэр
• computer_fqdn — string; заавал; FQDN
• computer_ip — string; заавал; IP хаяг
• computer_id — string; заавал; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• container_id — string; заавал биш; Container-ийн тодорхойлогч
• container_host — string; заавал биш; Container-ийг удирддаг host-ын нэр
• is_container_host — boolean; заавал биш; Машин container host мөн эсэх
• product_registration — string; заавал; Утгууд: registered, unregistered

Жишээ:

{
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "companyId": "59a14b271da197c6108b4567",
                "computer_name": "FC-EXCHANGE-01",
                "computer_fqdn": "fc-exchange-01.fc.dom",
                "computer_ip": "192.168.0.1",
                "computer_id": "59b7d9bfa849af3a1465b7e4",
                "product_installed": "BEST",
                "product_registration": "registered",
                "module": "registration"
            }
        ]
    },
    "id": 1505221060168
}

Outdated Update Server (Хоцрогдсон шинэчлэлтийн сервер)

Шинэчлэлтийн серверийн хортой программын дохио (signature) хоцрогдсон үед үүсэх event.

Параметрүүд:

• fromSupa — boolean; заавал; Relay-ээс илгээсэн event-ийг заана (үргэлж true)
• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: supa-update-status
• product_installed — string; заавал; Суулгасан GravityZone бүрэлдэхүүн хэсгийн тодорхойлогч
• companyId — string; заавал; Компанийн тодорхойлогч
• computer_name — string; заавал; Компьютерийн нэр
• computer_fqdn — string; заавал; FQDN
• computer_ip — string; заавал; IP хаяг
• computer_id — string; заавал; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• status — boolean; заавал; Шинэчлэлтийн төлөв

Жишээ:

{
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "companyId": "59a14b271da197c6108b4567",
                "computer_name": "FC-WIN7-X64-01",
                "computer_fqdn": "fc-win7-x64-01",
                "computer_ip": "192.168.0.1",
                "computer_id": "59a1604e60369e06733f8abb",
                "product_installed": "BEST",
                "status": 0,
                "fromSupa": 1,
                "module": "supa-update-status"
            }
        ]
    },
    "id": 1505379714808
}

Overloaded Security Server (Ачаалал хэтэрсэн Security Server)

Сүлжээн дэх Security Server-ийн шалгалтын ачаалал тогтоосон босгыг давахад үүсэх event.

Параметрүүд:

• module — string; заавал; Event-ийн төрлийн тодорхойлогч. Утга: sva-load
• product_installed — string; заавал; Суулгасан GravityZone бүрэлдэхүүн хэсгийн тодорхойлогч
• companyId — string; заавал; Компанийн тодорхойлогч
• computer_name — string; заавал; Компьютерийн нэр
• computer_fqdn — string; заавал; FQDN
• computer_ip — string; заавал; IP хаяг
• computer_id — string; заавал; GravityZone-ийн өгөгдлийн санд endpoint-ийг давтагдахгүйгээр тодорхойлогч
• loadAverage — integer; заавал; Дундаж ачаалал
• cpuUsage — integer; заавал; CPU ашиглалт
• memoryUsage — integer; заавал; Санах ойн ашиглалт
• networkUsage — integer; заавал; Сүлжээний ашиглалт
• overallUsage — integer; заавал; Нийт ашиглалт
• svaLoad — string; заавал биш; SVA-ийн ачаалал

Жишээ:

 {
    "jsonrpc": "2.0",
    "method": "addEvents",
    "params": {
        "events": [
            {
                "companyId": "59a14b271da197c6108b4567",
                "computer_name": "bitdefender-sva",
                "computer_fqdn": "bitdefender-sva",
                "computer_ip": "192.168.0.1",
                "computer_id": "59b8f3aba849af3a1465b81e",
                "product_installed": "SVA",
                "loadAverage": 1,
                "cpuUsage": 48,
                "memoryUsage": 32,
                "networkUsage": 0,
                "overallUsage": 48,
                "svaLoad": "Normal",
            "module": "sva-load"
            }
        ]
    },
    "id": 1505293227782
}