Push event JSON RPC мессежүүд — 5-р хэсэг: New Incident
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
New Incident
Энэ event нь Control Center-ийн Incidents (Халдлагын тохиолдол) хэсэгт шинэ Root Cause Analysis (RCA, үндсэн шалтгааны шинжилгээ) харагдах бүрд үүснэ. Event нь RCA JSON-оос гаргаж авсан хамааралтай зүйлсийн жагсаалтыг агуулах бөгөөд үүнийг SIEM-ээр удирддаг корреляцийг EDR-тэй холбоотой өгөгдлөөр баяжуулахад ашиглаж болно.
Параметрүүд:
- module — string; заавал; event-ийн төрлийн тодорхойлогч. Утга:
new-incident - computer_name — string; заавал; компьютерийн нэр
- computer_fqdn — string; заавал; FQDN
- computer_ip — string; заавал; компьютерийн IP хаяг
- computer_id — string; заавал; GravityZone-ийн өгөгдлийн сан дахь endpoint-ийн өвөрмөц тодорхойлогч
- incident_id — string; заавал; Incident-ийн дотоод тодорхойлогч
- incident_number — integer; заавал; Control Center-т харагдах Incident-ийн ID,
#угтваргүй - severity_score — integer; заавал; ноцтой байдлын оноо
- attack_entry — integer; заавал; халдлагын нэвтрэх цэг
- main_action — string; заавал; үндсэн үйлдэл
- detection_name — string; заавал биш; илрүүлэлтийн нэр
- file_name — string; заавал биш; файлын нэр
- file_path — string; заавал биш; файлын зам
- file_hash_md5 — string; заавал биш; файлын MD5 хэш
- file_hash_sha256 — string; заавал биш; файлын SHA-256 хэш
- url — string; заавал биш; домэйн URL
- port — integer; заавал биш; домэйний порт
- protocol — string; заавал биш; программын түвшний протокол
- source_ip — string; заавал биш; эх IP хаяг
- process_pid — integer; заавал биш; процессын pid
- process_path — string; заавал биш; процессын зам
- parent_process_pid — integer; заавал биш; эцэг процессын PID
- parent_process_path — string; заавал биш; эцэг процессын зам
- attack_types — array; заавал биш; халдлагын төрлүүд
- att_ck_id — array; заавал биш; MITRE ATT&CK-ийн ID-ууд
- process_command_line — string; заавал биш; командын мөрөнд өгсөн процессын параметрүүд
- severity — string; заавал; үүссэн event-ийн ноцтой байдал
- companyId — string; заавал; компанийн тодорхойлогч
- nodes — array of objects; заавал биш; Incident-д оролцсон объектуудын талаарх дэлгэрэнгүй мэдээллийг өгнө. Энэ параметр тухайн event-ийн CEF хэлбэрт байхгүй.
- endpointId — string; заавал; endpoint-ийн тодорхойлогч
- username — string; заавал биш; Incident илрэх үед нэвтэрсэн байсан хэрэглэгч
- user_sid — string; заавал биш; event-ийн эх үүсвэртэй холбоотой хэрэглэгчийн SID
Жишээ:
{
"jsonrpc": "2.0",
"method": "addEvents",
"params": {
"events": [
{
"module": "new-incident",
"created": "2020-07-20T09:36:23.485Z",
"computer_id": "5efb3a520075db7384dfa286",
"computer_fqdn": "desktop-jac14gs",
"computer_name": "DESKTOP-JAC14GS",
"detection_name": "ATC.Malicious",
"attack_types": [
"Other"
],
"computer_ip": "10.17.23.30",
"severityScore": 90,
"incident_id": "5f1557cbe7b2584f3959ee19",
"attack_entry": 1688239188,
"parent_process_path": "c:\\windows\\system32\\cmd.exe",
"parent_process_pid": 9636,
"process_path": "c:\\users\\bdadmin\\desktop\\atcsim\\atcsim32.exe",
"process_pid": 10324,
"username": "DESKTOP-JAC14GS\\bdadmin",
"user_sid": "S-1-5-21-3349207704-443292085-2237656896-1003",
"process_command_line": "detect",
"file_hash_md5": "ccb1b07bdf330627f02b3c832663a489",
"file_hash_sha256": "d5adc6a65a57d30d3ae70d195983d155e7cd24f26eb1ebebde9b92655251ec55",
"att_ck_id": [
"T1036",
"T1059",
"T1002",
"T1012"
],
"severity": "high",
"main_action": "no action",
"endpointId": "5efb3a520075db7384dfa285",
"companyId": "5efb2f7154060876cb4a13d2",
"nodes": [
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "runme.exe",
"type": "process_execution",
"details": {
"file": {
"name": null,
"path": "c:\\users\\bdvm\\desktop\\edr win samples\\ctc sample\\runme.exe",
"md5": "b5f9240a49fcc6be5de168c5cbbff59a",
"sha256": "8407fe2c7da0141f111806ec5d3453d92099b75070b0ff829f2efcc38100794d"
},
"process": {
"pid": 6368,
"parent": {
"pid": 7036,
"name": "explorer.exe",
"path": null
},
"command_line": "",
"user_sid": "S-1-5-21-3349207704-443292085-2237656896-1003",
"user_name": "LEV-EDR5\\BDVM",
"exection_date": "2020-11-26T11:07:47+02:00",
"name": null
}
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1c",
"name": "desktop",
"type": "file",
"details": {
"name": null,
"path": "c:\\users\\bdvm\\desktop",
"md5": null,
"sha256": null
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1c",
"type": "registry",
"details": {
"registry": {
"key": "",
"value": "",
"data": ""
},
"process": {
"id": 0,
"name": "",
"path": ""
}
}
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1c",
"type": "domain",
"details": {
"domain": {
"requested_url": "",
"remote_port": "",
"source_application": ""
},
"process": {
"id": 0,
"name": "",
"path": ""
},
"file": {
"md5": "",
"sha256": ""
}
}
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1c",
"type": "container_or_container_host",
"details": {
"name": "",
"hardware_id": "",
"ip": "",
"container": true,
"container_host": false
}
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1c",
"type": "endpoint",
"details": {
"name": "",
"hardware_id": "",
"ip": "",
"container": true,
"container_host": false
}
"total_alerts": 0
}
]
}
]
},
"id": 1505221060171
}New extended incident
- module — string; заавал; event-ийн төрлийн тодорхойлогч. Утга:
new-extended-incident. - companyId — string; заавал; компанийн тодорхойлогч. Энэ талбар 24 тэмдэгттэй хүчинтэй арван зургаатын (hexadecimal) string байх ёстой.
- created — string; заавал; Incident event үүссэн цаг.
- last_updated — string; заавал; Incident хамгийн сүүлд шинэчлэгдсэн цаг.
- last_processed — string; заавал; Incident хамгийн сүүлд боловсруулагдсан цаг.
- incident_id — string; заавал; Incident-ийн ID.
- incident_number — integer; заавал; GravityZone-д харагдах Incident-ийн дугаар.
- version — integer; заавал; Incident-ийн хувилбар.
- severity — string; заавал; ноцтой байдлын оноонд суурилсан Incident-ийн ноцтой байдлын ангилал. Боломжит утгууд:
- low — ноцтой байдлын оноо 1-ээс 50 хооронд байвал.
- medium — ноцтой байдлын оноо 51-ээс 75 хооронд байвал.
- high — ноцтой байдлын оноо 76-аас 100 хооронд байвал.
- severity_score — integer; заавал; Incident-ийн ноцтой байдлын оноо.
- main_action — string; заавал; Incident-ийн үр дүнд хийгдсэн үйлдэл.
- killchain_phases — array of strings; заавал; Incident-тэй холбоотой MITRE ATT&CK kill chain-ийн үе шатуудын жагсаалт.
- last_killchain_phase — string; заавал; халдлагын үед хамгийн сүүлд хүрсэн MITRE ATT&CK kill chain-ийн үе шат.
- attack_types — array of strings; заавал; Incident-ийг үүсгэсэн event-ийн үед ашигласан халдлагын төрлүүд.
- correlated_incidents — array of strings; заавал; энэ Incident-тэй корреляцитай бусад Incident-ийн ID-уудын жагсаалт.
- nodes — array of objects; заавал; Incident-д оролцсон объектуудын жагсаалт (жишээ нь endpoint, сервер, гар утас, router, принтер, IoT, халдагч, и-мэйл). Объект бүр id, name, type, details, total_alerts талбартай. Энэ параметр CEF хэлбэрт string-үүдийн массив (array of strings) хэлбэрээр буцна.
Жишээ
{
"jsonrpc": "2.0",
"method": "addEvents",
"params": {
"events": [
{
"module": "new-extended-incident",
"created": "2020-07-20T09:36:23.485Z",
"companyId": "58541613aaed7090058b4567",
"last_updated": "2020-07-20T09:36:23.485Z",
"last_processed": "2020-07-20T09:36:23.485Z",
"incident_id": "5f1557cbe7b2584f3959ee19",
"incident_number": 1,
"version": 1,
"severity_score": 100,
"severity": "high",
"main_action": "action_needed",
"killchain_phases": [
"initial_access",
"execution",
"c&c"
],
"last_killchain_phase": "execution",
"attack_types": [
"exploit",
"spearphishing",
"exfiltration"
],
"correlated_incidents": [
"5f1557cbe7b2584f3959ee17",
"5f1557cbe7b2584f3959ee18"
],
"nodes": [
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "endpoint",
"details": {
"hardware_id": "",
"ips": [
"127.0.0.1",
"192.168.1.1"
],
"macs": [
""
],
"computer_id": ""
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "server",
"details": {
"hardware_id": "",
"ips": [
"127.0.0.1",
"192.168.1.1"
],
"macs": [
""
],
"computer_id": "",
"network_services": [
"file_sharing",
"mail",
"dc_controller"
]
},
"total_alerts": 0
},
{
"id": "67",
"name": "",
"type": "mobile_device",
"details": {
"device_id": "",
"ip": "127.0.0.1",
"operating_system": "",
"device_group_name": "",
"phone_number": ""
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "router",
"details": {
"ip": "127.0.0.1",
"mac": ""
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "printer",
"details": {
"ip": "127.0.0.1",
"mac": ""
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "iot",
"details": {
"ip": "127.0.0.1",
"mac": ""
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "attacker",
"details": {
"threat_group": "Lazarus"
},
"total_alerts": 0
},
{
"id": "67dd30dd4a842ebbbb0b6b1b",
"name": "",
"type": "email",
"details": {
"sender": "",
"recipients": [
""
],
"subject": "",
"attachments": [
""
]
},
"total_alerts": 0
}
]
}
]
},
"id": 1505221060171
}Энэ хуудсанд гарсан нэр томъёо
- Control Center
- GravityZone-ийн удирдлагын вэб консол
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин
- Incidents
- Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)