XDR хайлтын талбарууд

Доорх жагсаалтууд XDR-ийн хайлтын талбаруудыг ангиллаар нь харуулна:

Network (Сүлжээ)

• `network.bytes_in` — Хүлээн авсан байтын тоо. Тоо үргэлж тэгээс их байна.
• `network.bytes_out` — Илгээсэн байтын тоо. Тоо үргэлж тэгээс их байна.
• `network.container_id` — Виртуал орчинд сүлжээний контейнерийг өвөрмөц тодорхойлох ID.
• `network.container_name` — Виртуал орчинд сүлжээний контейнерийн нэр.
• `network.destination_ip` — Очих IP хаяг.
• `network.destination_port` — Очих порт.
• `network.direction` — Сүлжээний урсгалын чиглэл:

- outbound
- inbound
- both

• `network.domain_name` — Домайны нэр.
• `network.file_path` — Дамжуулсан файлын зам.
• `network.hostname` — Хостын нэр.
• `network.mac` — Хүсэлт илгээсэн төгсгөлийн төхөөрөмжийн (endpoint) MAC хаяг.
• `network.protocol` — Сүлжээний урсгалд ашигласан протокол.
• `network.request_method` — HTTP хүсэлтийн аргын төрөл. Жишээ нь: GET, POST.
• `network.source_ip` — Эх IP хаяг.
• `network.source_port` — Эх порт.
• `network.status_code` — HTTP хариултын код. Жишээ нь: 200, 300.
• `network.stream_type` — Урсгалын хариу өгөх арга. Жишээ нь: application/x-msdownload.
• `network.uri` — Сэрэмжлүүлэг үүсгэсэн хандсан URL.

User (Хэрэглэгч)

• `user.domain` — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн (actor) харьяалагдах tenant байгууллагын талаарх мэдээлэл.
• `user.email` — Хэрэглэгчийн и-мэйл.
• `user.extended_properties` — Azure Active Directory үйл явдлын өргөтгөсөн шинж чанарууд.
• `user.external_access` — Үйлдлийг байгууллагын дотор эсвэл гаднаас хийсэн эсэхийг заана.
• `user.id` — Гуравдагч талын платформ эсвэл аппликейшнээс өгсөн хэрэглэгчийн ID.
• `user.modified_properties` — Өөрчлөгдсөн шинж чанаруудын дэлгэрэнгүй (шинж чанарын нэр, хуучин утга, шинэ утга гэх мэт). Боловсруулж буй лог файлаас хамаарч талбарын агуулга өөр байж болно. Дэлгэрэнгүйг Microsoft-ын энэ хуудаснаас ModifiedProperties гэж хайж үзнэ үү.
• `user.name` — Хэрэглэгчийн нэр.
• `user.operation` — Хэрэглэгчийн акаунт дээр хийсэн үйлдэл:

- none
- enable_account
- disable_account
- delete_account
- lock_account
- unlock_account
- change_password
- reset_password
- add_to_security_group
- remove_from_security_group
- unknown

• `user.shared_with` — Нөөцийг хуваалцсан хэрэглэгч.
• `user.sharing_permissions` — Нөөцийг хуваалцсан хэрэглэгчид олгосон хуваалцах зөвшөөрлийн төрөл.
• `user.target` — Үйлдэл хийгдсэн хэрэглэгч.
• `user.team_guid` — Microsoft Teams дэх багийн ID.
• `user.team_members` — Багт нэмсэн эсвэл хассан хэрэглэгчдийн жагсаалт. Хэрэглэгч бүрийн хувьд танай байгууллагын нэр, гишүүний и-мэйл хаяг орно. Дараах утгууд хэрэглэгчид оноосон Role-ийн төрлийг заана:

- 1 — Owner (эзэмшигч) үүрэг.
- 2 — Member (гишүүн) үүрэг.
- 3 — Guest (зочин) үүрэг.

• `user.team_name` — Microsoft Teams дэх багийн нэр.
• `user.type` — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн төрөл. Дараах утгууд хэрэглэгчийн төрлийг заана:

- user — Энгийн хэрэглэгч.
- organization_administrator — Таны Microsoft 365 байгууллагын администратор.
- datacenter_account — Microsoft-ын дата төвийн администратор эсвэл дата төвийн системийн акаунт.
- system_acount — Системийн акаунт.
- application — Аппликейшн.
- service — Service principal.
- custom_policy — Тусгайлан үүсгэсэн бодлого.
- system_policy — Системийн бодлого.

• `user.session_id` — Үйл явдал болсон хэрэглэгчийн сессийн таних тэмдэг.

Process (Процесс)

• `process.access_privileges` — Процессыг ямар эрхээр ажиллуулсныг заана:

- elevated
- restricted

• `process.command_line` — Процессыг эхлүүлэхэд ашигласан командын мөр.
• `process.create_type` — Процессыг fork системийн дуудлагаар эсвэл execve функцээр үүсгэсэн эсэхийг заана.
• `process.injection_method` — Процесс руу шахахад (injection) ашигласан арга.
• `process.injection_target_path` — Зорилтот процессыг үүсгэсэн гүйцэтгэх файлын зам.
• `process.injection_target_pid` — Шахагдсан (injected) процессын таних дугаар.
• `process.injection_writer_path` — Бичигч (writer) процессыг үүсгэсэн гүйцэтгэх файлын зам.
• `process.injection_writer_pid` — Өөр процесс руу шахаж буй процессын таних дугаар.
• `process.integrity_level` — Процессын бүрэн бүтэн байдлын түвшин дараах утгуудын нэг байж болно:

- untrusted
- low
- medium
- high
- system

• `process.is_driver` — Процесс нь драйвер мөн эсэхийг заана. Боломжит утгууд:

- yes
- no

• `process.module` — Сэрэмжлүүлэг үүсгэсэн ачаалагдсан модулийн нэр.
• `process.module_pid` — Модулийг ачаалсан процессын таних дугаар.
• `process.new_service_name` — Үйлчилгээний нэрийг өөрчилсөн бол түүний шинэ нэр.
• `process.parent_access_privileges` — Эцэг процессыг ямар эрхээр ажиллуулсныг заана:

- elevated
- restricted

• `process.parent_cmdline` — Эцэг процессыг эхлүүлэхэд ашигласан командын мөр.
• `process.parent_integrity_level` — Эцэг процессын бүрэн бүтэн байдлын түвшин дараах утгуудын нэг байж болно:

- untrusted
- low
- medium
- high
- system

• `process.parent_path` — Эцэг процессын зам.
• `process.parent_pid` — Эцэг процессын таних дугаар.
• `process.parent_user` — Эцэг процессыг эхлүүлсэн хэрэглэгч.
• `process.path` — Процессын зам.
• `process.pid` — Процессын таних дугаар.
• `process.service_name` — Үйлчилгээний нэр.
• `process.service_start_type` — Үйлчилгээ хэрхэн эхэлснийг заана:

- auto_start — Үйлчилгээ системтэй хамт автоматаар эхэлсэн.
- manual_start — Үйлчилгээг систем асаасны дараа гараар эхлүүлсэн.
- disabled_service — Үйлчилгээ идэвхгүй болгогдсон.
- none — Үйлчилгээ эхлээгүй.

• `process.target_name` — Товлосон ажлын (scheduled task) үйл явдлын хувьд ажиллуулахаар тохируулсан гүйцэтгэх файлын нэр.
• `process.target_path` — Товлосон ажлын үйл явдлын хувьд ажиллуулахаар тохируулсан гүйцэтгэх файлын зам.
• `process.user` — Процессыг эхлүүлсэн хэрэглэгч.
• `process.name` — Процессын нэр.
• `process.sha256` — Процессын гүйцэтгэх файлын SHA-256.
• `process.md5` — Процессын гүйцэтгэх файлын MD5.
• `process.size` — Процессын гүйцэтгэх файлын хэмжээ.
• `process.target_pid` — Үйлдэл эсвэл үйл явдлаас нөлөөлөгдсөн зорилтот процессын ID.

File (Файл)

• `file.attribute_operation` — Файлын шинж чанарыг өөрчлөх үйлдлийн төрөл:

- security_change
- basic_attributes_change
- datetime_change

• `file.destination_file` — Файлыг зөөсөн эсвэл хуулсан, дараа нь нэрийг нь өөрчилсний дараах файлын нэр. Нэрийг нь өөрчлөөгүй бол анхны файлын нэр жагсаалтад орно.
• `file.destination_url` — Файл байршуулсан хавтасны URL.
• `file.ext` — Хуулж эсвэл зөөж буй файлын өргөтгөл.
• `file.is_remote` — Файл дээрх өөрчлөлт алсын холболтоор хийгдсэн эсэхийг заана:

- yes
- no

• `file.item_type` — Хандсан эсвэл өөрчилсөн объектын төрөл. Боломжит утгууд:

- file
- folder
- web
- site
- tenant
- library

• `file.md5` — Хандсан файл гүйцэтгэх файл бол түүний MD5 хэш.
• `file.name` — Файлын нэр.
• `file.operation` — Файл дээрх үйлдлийн төрөл:

- read
- write
- delete
- rename
- close
- create

• `file.path` — Сэрэмжлүүлэг үүсгэсэн файлын зам.
• `file.sha256` — Хандсан файл гүйцэтгэх файл бол түүний SHA256 хэш. Эх баримтад энэ талбарын дор мөн дараах утгууд жагссан байдаг:

- file
- folder
- web
- site
- tenant
- library

• `file.site` — Хэрэглэгчийн хандсан файл эсвэл хавтас байрлах сайтын GUID.
• `file.size` — Файлын хэмжээ.
• `file.url` — Файлын шууд татах холбоос.
• `file.file_count` — Үйл явдалд оролцсон эсвэл нөлөөлөгдсөн файлын тоо.

Registry (Бүртгэл)

• `registry.data` — Өөрчлөгдсөн registry утга.
• `registry.key` — Сэрэмжлүүлэг үүсгэсэн registry түлхүүрийн хавтас.
• `registry.operation` — Өгөгдөлд хандсан үйлдлийн төрөл:

- read
- write
- create
- delete

• `registry.type` — Registry өгөгдлийн төрөл:

- none
- sz — Null-ээр төгссөн мөр. Unicode эсвэл ANSI функц ашиглаж байгаагаас хамаарч Unicode эсвэл ANSI мөр байна.
- expand_sz — Орчны хувьсагчийн задлаагүй лавлагаа (жишээ нь %PATH%) агуулсан null-ээр төгссөн мөр. Unicode эсвэл ANSI функц ашиглаж байгаагаас хамаарч Unicode эсвэл ANSI мөр байна.
- binary — Дурын хэлбэрийн хоёртын өгөгдөл.
- dword — 32 битийн тоо.
- dword_little_endian — Little-endian хэлбэрийн 32 битийн тоо.
- dword_big_endian — Big-endian хэлбэрийн 32 битийн тоо. Зарим UNIX систем big-endian архитектурыг дэмждэг.
- link — REG_OPTION_CREATE_LINK-тэй RegCreateKeyEx функцийг дуудаж үүсгэсэн симболик холбоосын зорилтот замыг агуулсан null-ээр төгссөн Unicode мөр.
- multi_sz — Хоосон мөрөөр төгссөн (\0), null-ээр төгссөн мөрүүдийн дараалал.
- resource_list
- full_resource_descriptor
- resource_requirements_list
- qword — 64 битийн тоо.

• `registry.value` — Registry утга.

Resource (Нөөц)

Графын шилжилтүүд (graph transitions) нь зангилаа хоорондын харилцан үйлдлийг дүрсэлнэ. Эдгээр харилцан үйлдлээс хамаарч сэрэмжлүүлэгт оролцсон нөөцүүд өөр байж болно. Хайх боломжтой нөөцийн талбаруудын жагсаалтыг доор үзнэ үү.

• `resource.app_address` — Нэвтрэлтийн токенийг хүлээн авдаг аппликейшний хаяг.
• `resource.data` — Нөөцтэй холбоотой өгөгдлийн хэсэг эсвэл бүтнийг мөр хэлбэрээр харуулсан.
• `resource.id` — Нөөцийн ID.
• `resource.md5` — Нөөцийн MD5 хэш.
• `resource.name` — Нөөцийн нэр.
• `resource.path` — Нөөц хүртэлх файлын зам.
• `resource.policy_type` — Нөөц нь бодлого бол бодлогын төрлийг харуулна.
• `resource.sha256` — Нөөцийн SHA256 хэш.
• `resource.size` — Нөөцийн хэмжээ (байтаар).
• `resource.ssh_public_key` — Нөөц нь SSH түлхүүр бол нийтийн түлхүүрийг харуулна.
• `resource.type` — Нөөцийн төрөл:

- application — Нөөц болгон ашигласан аппликейшний нэр.
- email — Нөөц болгон ашигласан и-мэйлийн subject талбар.
- file — Нөөц болгон ашигласан файлын нэр.
- flow — Нөөц болгон ашигласан автомат и-мэйл урсгалын (flow) ID.
- generic — Боломжтой бол ашигласан нөөцийн талаарх ерөнхий мэдээллийг өгнө.
- key_vault — Нөөц болгон ашигласан нэвтрэх мэдээллийн цуглуулгын (key vault) нэр.
- launch_template — Нөөц болгон ашигласан instance-ийн тохиргооны мэдээллийн (launch template) нэр.
- policy — Нөөц болгон ашигласан бодлогын нэр.
- role — Нөөц болгон ашигласан хэрэглэгчийн үүргийн нэр.
- sharing_link — Нөөц болгон ашигласан хуваалцсан холбоос дахь баримтын нэр.
- ssh_key — Нөөц болгон ашигласан ssh нийтийн түлхүүр.
- url — Нөөц болгон ашигласан URL хаяг.

> Тэмдэглэл: resource.type-д санал болгох утгуудыг GravityZone Control Center дээр XDR-ийн компани дотор илрүүлсэн нөөцөд тулгуурлан динамикаар үүсгэдэг. Тиймээс саналын жагсаалт орчин бүрт өөр байж болно.

• `resource.url` — Нөөц нь файл бол файлын шууд татах холбоосыг, URL бол URL-ийг харуулна.
• `resource.policy_sub_category` — Үйл явдалтай холбоотой бодлогын дэд ангилал.

Email (И-мэйл)

• `email.attachments_hashes` — Хавсралтуудын хэш.
• `email.attachments_names` — Хавсралтуудын нэр.
• `email.attachments_number` — И-мэйлийн хавсралтын тоо.
• `email.attachments_size` — И-мэйлийн хавсралт тус бүрийн хэмжээ (байтаар).
• `email.attachments_types` — Хавсралтуудын төрөл.
• `email.attachments_uris` — И-мэйлээс олдсон бүх URL-ын жагсаалт.
• `email.bcc_address` — И-мэйлийн BCC талбарт жагсаасан и-мэйл хаяг.
• `email.bcc_name` — BCC талбарт жагсаасан и-мэйл хаягийн харуулах нэр.
• `email.cc_address` — И-мэйлийн CC талбарт жагсаасан и-мэйл хаяг.
• `email.cc_name` — CC талбарт жагсаасан и-мэйл хаягийн харуулах нэр.
• `email.client` — И-мэйлд хандах эсвэл илгээхэд ашигласан программын төрөл. Жишээ нь: Outlook.
• `email.date` — И-мэйл илгээсэн огноо.
• `email.event_name` — Үйл явдлын нэр.
• `email.id` — И-мэйлийг өвөрмөц тодорхойлох ID.
• `email.login_status` — Microsoft 365-д гарсан нэвтрэлтийн алдааг тодорхойлно.
• `email.logon_type` — Шуудангийн хайрцагт хандсан төрөл. Дараах утгууд шуудангийн хайрцагт хандсан хэрэглэгчийн төрлийг заана:

- owner — Шуудангийн хайрцгийн эзэмшигч
- administrator — Администратор
- delegate — Төлөөлөгч (delegate)
- microsoft_transport_service — Дата төв дэх transport үйлчилгээ
- microsoft_service_account — Дата төв дэх үйлчилгээний акаунт
- delegated_administrator — Эрх шилжүүлсэн администратор

• `email.mailbox_guid` — Шуудангийн хайрцгийг өвөрмөц тодорхойлох ID.
• `email.mailbox_owner` — Шуудангийн хайрцгийн эзэмшигч.
• `email.origin_ip` — И-мэйл илгээгдсэн IP хаяг.
• `email.parameters` — Exchange админы үйл ажиллагааны хувьд Operation шинж чанарт заасан cmdlet-тэй хамт ашигласан бүх параметрийн нэр, утга.
• `email.path` — Хандсан мессеж байрлах шуудангийн хайрцгийн хавтасны нэр. Мөн мессеж үүсгэсэн, эсвэл хуулсан, зөөсөн хавтсыг тодорхойлно.
• `email.receiver_address` — Хүлээн авагчийн и-мэйл хаяг.
• `email.receiver_name` — Хүлээн авагчийн харуулах нэр.
• `email.sender_address` — Илгээгчийн и-мэйл хаяг.
• `email.sender_name` — Илгээгчийн харуулах нэр.
• `email.subject` — И-мэйлийн subject.
• `email.to_address` — Хүлээн авагчийн и-мэйл хаяг.
• `email.to_name` — to талбарт жагсаасан и-мэйл хаягийн харуулах нэр.

Alert (Сэрэмжлүүлэг)

• `alert.actions_taken` — Файл дээр авсан үйлдлүүд:

- invalid
- no_action
- block
- block_and_disinfect
- disinfect_only
- delete
- quarantine

• `alert.att&ck_subtechnique_id` — Mitre-ийн зарим technique дэд technique-тэй байдаг. Энэ талбар дэд technique-ийн ID-г харуулна. Жишээ нь: T1595.002.
• `alert.att&ck_subtechnique` — Mitre-ийн зарим technique дэд technique-тэй байдаг. Энэ талбар дэд technique-ийн нэрийг харуулна.
• `alert.att&ck_tactic` — Mitre-ийн бүх technique-ийг tactic-аар ангилсан байдаг. Энэ талбар tactic-ийн нэрийг харуулна.
• `alert.att&ck_technique` — Албан ёсны вэб сайтад бичигдсэн Mitre technique-ийн нэр. Жишээ нь: Command and Scripting Interpreter.
• `alert.att&ck_technique_id` — Албан ёсны вэб сайтад бичигдсэн Mitre Technique ID. Жишээ нь: T1074.
• `alert.description` — Сэрэмжлүүлэг үүсгэсэн үйл явдлуудын тайлбар.
• `alert.incident_number` — Ослын (incident) дугаар.
• `alert.mark` — Сэрэмжлүүлгийн төрлийг тодорхойлно. Боломжит утгууд:

- info — Мэдээллийн сэрэмжлүүлэг; зөвхөн мэдэгдэх зорилготой.
- suspicious — Сэжигтэй үйл ажиллагааг тодорхойлно. EDR илрүүлэлтэд энэ утга түгээмэл байдаг.
- malware — Хортой үйл ажиллагааг тодорхойлно.

• `alert.name` — Сэрэмжлүүлгийн нэр.
• `alert.scan_type` — Шалгалтын (scan) төрөл:

- on_access
- on_demand
- http_traffic

• `alert.severity_score` — Сэрэмжлүүлгийн оноо. Утга 1 (хамгийн бага ноцтой) -ээс 100 (хамгийн ноцтой) хүртэл байна.
• `alert.type` — Сэрэмжлүүлэг үүсгэсэн технологийн төрөл:

- atd — Advanced Threat Control-ийн зан төлөвийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- am — Antimalware модулийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- hd — HyperDetect-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- hd_report — HyperDetect Report only горимд байхад HyperDetect-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- cmdline — CommandLine scanning модулийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- ctc — EDR engine-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- ghoster — Network Attack Defense модулийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- hd_no_report — HyperDetect Report only горимд байхад HyperDetect-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- sandbox — Sandbox-д ажигласан зан төлөвөөр үүссэн сэрэмжлүүлэг.
- memory_scan — Process Memory Scanning-ээр үүссэн сэрэмжлүүлэг.
- urlstatus — URL хаах үйл ажиллагаагаар үүссэн сэрэмжлүүлэг.
- gemma — Advanced Threat Control Code Buffers-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- anomaly_detection — Anomaly detection engine-ээр, сурсан зан төлөвөөс ялгаатай хэвийн бус зан төлөв илэрснээс үүссэн сэрэмжлүүлэг.
- amsi — Windows Antimalware Scan Interface буферуудаар үүссэн сэрэмжлүүлэг.
- self_protect — Bitdefender бүтээгдэхүүнүүд өөрийн бүрэлдэхүүн хэсгийг хамгаалснаас үүссэн сэрэмжлүүлэг.
- user_detection — Bitdefender хэрэглэгчдийн бичсэн дүрмээр үүссэн сэрэмжлүүлэг.
- crypt_protect — Ransomware Mitigation модулиар үүссэн сэрэмжлүүлэг.
- etw — Windows ETW логийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- user_detection_yara — Bitdefender хэрэглэгчдийн YARA хэлээр үүсгэсэн дүрмээр үүссэн сэрэмжлүүлэг.
- anti_tampering — Anti-tampering модулийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- firewall — Firewall модулийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- PHASR — PHASR модулийн үйл явдлаар үүссэн сэрэмжлүүлэг.

• `alert.actions_to_take` — Тусгай илрүүлэх дүрмийн тохиргоонд үндэслэн эхлүүлсэн үйлдлүүд:

- add_to_sandbox — Add to Sandbox автомат үйлдлүүд.
- investigation_package — Collect investigation package автомат үйлдлүүд.
- isolate — Isolate автомат үйлдлүүд.
- kill_process — Kill process автомат үйлдлүүд.
- no_action
- quarantine — Quarantine автомат үйлдлүүд.
- risk_scan — Risk scan автомат үйлдлүүд.
- scan — Antimalware scan автомат үйлдлүүд.

• `alert.id` — Сэрэмжлүүлгийн ID.
• `alert.incident_id` — Сэрэмжлүүлэг хамаарах осолуудын (incident) ID.

Other (Бусад)

• `other.agent` — Хэрэглэгчийн хөтчийн талаарх мэдээлэл, user agent мөр. Энэ мэдээллийг хөтөч өгдөг.
• `other.api` — Сэрэмжлүүлэг үүсгэсэн hook хийсэн Windows API-ийн нэр.
• `other.arch` — Архитектурын төрөл:

- x86
- x64

• `other.compliance_center_event` — Үйл ажиллагаа Microsoft 365 compliance center-ийн үйл явдал мөн эсэхийг заана:

- true
- false

• `other.detection_class` — Илрүүлэлтийн төрөл:

- edr_detection — EDR engine-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- ransomware — Ransomware Mitigation модулийн үйл ажиллагаагаар үүссэн сэрэмжлүүлэг.
- antimalware_scan_interface — Windows Antimalware Scan Interface буферуудаар үүссэн сэрэмжлүүлэг.
- amsi_detection — Windows Antimalware Scan Interface буферуудаар үүссэн сэрэмжлүүлэг.
- anomaly_detection — Anomaly detection engine-ээр, сурсан зан төлөвөөс ялгаатай хэвийн бус зан төлөв илэрснээс үүссэн сэрэмжлүүлэг.
- antimalware_detection — Antimalware модулийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- atd_detection — Advanced Threat Control-ийн зан төлөвийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- gemma_detection — Advanced Threat Control Code Buffers-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- hd_detection — HyperDetect-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- hd_no_report_detection — HyperDetect Report only горимд байхад HyperDetect-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- hd_report_detection — HyperDetect Report only горимд байхад HyperDetect-ийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- machine_learning_detection — ML загваруудын оролтод үндэслэн үүссэн сэрэмжлүүлэг.
- memory_scan_detection — Процессын санах ойн шалгалтаар үүссэн сэрэмжлүүлэг.
- network_scan_detection — Network Attack Defense модулийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- user_defined_detection — Bitdefender хэрэглэгчдийн бичсэн дүрмээр үүссэн сэрэмжлүүлэг.
- command_line_scanning_detection — CommandLine scanning модулийн илрүүлэлтээр үүссэн сэрэмжлүүлэг.
- sandbox_detection — Sandbox-д ажигласан зан төлөвөөр үүссэн сэрэмжлүүлэг.
- urlstatus_detection — URL хаах үйл ажиллагаагаар үүссэн сэрэмжлүүлэг.
- cryptprotect_detection — Ransomware Mitigation модулиар үүссэн сэрэмжлүүлэг.
- etw_detection — Windows ETW логийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- user_detection_yara — Bitdefender хэрэглэгчдийн YARA хэлээр бичсэн дүрмээр үүссэн сэрэмжлүүлэг.
- anti-tampering — Anti-tampering модулийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- antiphishing_detection
- firewall_detection — Firewall модулийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- PHASR — PHASR модулийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- selfprotect_detection — Tamper protection боломжийн үйл явдлаар үүссэн сэрэмжлүүлэг.
- user_detection — Хэрэглэгчдийн үүсгэсэн тусгай илрүүлэх дүрмээр үүссэн сэрэмжлүүлэг.

• `other.event_id` — Үйл явдлын өвөрмөц ID.
• `other.event_type` — Үйл явдлын төрөл:

- raw — Түүхий (raw) үйл явдал
- alert — EDR сэрэмжлүүлэг
- xalert — XDR сэрэмжлүүлэг

• `other.exclusion_id` — Хэрэглэгч GravityZone дээр үүсгэсэн үл хамаарах жагсаалтын (exclusion) ID.
• `other.hostname` — Урсгал эсвэл үйл явдал үүсгэсэн төгсгөлийн төхөөрөмжийн нэр.
• `other.organization_id` — GravityZone дахь компанийн ID.
• `other.os` — Үйлдлийн системийн төрөл. Дараах утгууд боломжтой:

- windows
- linux
- macos

• `other.record_type` — Бичлэгийн заасан үйлдлийн төрөл. Энэ шинж чанар үйлдэл аль үйлчилгээ эсвэл боломжид эхэлснийг заана.
• `other.result_status` — Үйлдэл амжилттай болсон эсэхийг заана:

- true
- false
- failed
- invalid
- none
- running
- stopped
- successful
- unkonwn

• `other.script` — Үйл явдал үүсгэсэн скрипт.
• `other.sensor_name` — Сэрэмжлүүлэг үүсгэсэн мэдрэгч (sensor):

- atc
- edr
- filescan
- trafficscan
- endpoint
- o365mails
- PHASR
- xdr
- palo_alto
- unspecified
- fortigate

> Тэмдэглэл: Security Data Lake интеграцаар хүлээн авсан сэрэмжлүүлгийн хувьд энэ талбар Security Data Lake-ийн гадаад өгөгдлийн эх сурвалжийг заана: palo_alto, fortigate эсвэл unspecified.

• `other.user` — Үйл явдлын үед нэвтэрсэн хэрэглэгч.
• `other.rule_id` — Сэрэмжлүүлэг үүсгэсэн тусгай үл хамаарах эсвэл илрүүлэх дүрмийн ID.
• `other.guid` — Үйл явдалтай холбоотой дэлхийд өвөрмөц таних тэмдэг (GUID).
• `other.wmi_class_name` — Үйл явдалд оролцсон Windows Management Instrumentation (WMI) классын нэр.
• `other.wmi_method_name` — Дуудагдсан WMI аргын нэр; зорилтот WMI класс дээр хийсэн тодорхой үйлдлийг заана.
• `other.wmi_action` — Гүйцэтгэсэн WMI үйлдлийн төрөл.
• `other.wmi_group_id` — Нэг үйлдэл эсвэл үйл ажиллагааны бүлэгт хамаарах WMI үйл явдлуудыг холбоход ашигладаг таних тэмдэг.
• `other.wmi_operation_id` — Тодорхой WMI үйлдлийн өвөрмөц таних тэмдэг.
• `other.wmi_consumer_name` — Үйлдэлтэй холбоотой WMI event consumer-ийн нэр.
• `other.wmi_filter` — Тодорхой үйл явдал, өгөгдлийг сонгоход ашигласан WMI query эсвэл event filter-ийн тодорхойлолт.
• `other.fqdn` — Үйл явдалд оролцсон төгсгөлийн төхөөрөмжтэй холбоотой fully qualified domain name (FQDN).