SIEM Security Telemetry үйл явдлууд: Process · File

Process (Процесс)

Create (Үүсгэх)

Шинээр эхэлсэн процессуудыг тодорхойлж, endpoint дээрх программын ажиллагааг мөшгихөд тусална.

• cmdline — Процессыг эхлүүлсэн командын мөр.
• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
• datetime — Огноо, цаг (Unix epoch цагийн форматаар).
• elevation — Процессын эрхийн түвшинтэй (elevation level) холбоотой тоон ID.
• elevation_sz — Процесс өндөр эрхтэйгээр ажилласан эсэхийг заана. Боломжит утгууд:

- elevated
- restricted

• event_name — Үйл явдлын нэр.
• event_version — Үйл явдлын хувилбар.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• integrity — Бүрэн бүтэн байдлын түвшинтэй (integrity level) холбоотой тоон ID.
• integrity_sz — Процессын бүрэн бүтэн байдлын түвшин. Боломжит утгууд:

- untrusted
- low
- medium
- high
- system

Эдгээр утга нь энд тайлбарласан заавал мөрдөх бүрэн бүтэн байдлын түвшинтэй (mandatory integrity levels) тэнцэнэ.

• machine_name — Endpoint-ийн хост нэр.
• mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

- name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: Command and Scripting Interpreter.
- id - Mitre техникийн ID (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: T1074.
- subtechniques - Mitre дэд техниктэй холбоотой дараах мэдээллийг агуулна:
- name - Mitre дэд техникийн нэр
- id - Mitre дэд техникийн ID. Жишээ: T1595.002.
- categories - дараах мэдээллийг агуулна:
- categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал

• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• parent_cmdline — Эх процессыг (parent process) эхлүүлсэн командын мөр.
• parent_elevation — Эх процессын эрхийн түвшинтэй холбоотой тоон ID
• parent_elevation_sz — Эх процесс өндөр эрхтэйгээр ажилласан эсэхийг заана. Боломжит утгууд:

- elevated
- restricted

• parent_integrity — Эх процессын бүрэн бүтэн байдлын түвшинтэй холбоотой тоон ID
• parent_integrity_sz — Эх процессын бүрэн бүтэн байдлын түвшин. Боломжит утгууд:

- untrusted
- low
- medium
- high
- system

Эдгээр утга нь энд тайлбарласан заавал мөрдөх бүрэн бүтэн байдлын түвшинтэй (mandatory integrity levels) тэнцэнэ.

• parent_pid — Эх процессын таниулагч (ID)
• parent_process_path — Эх процессын зам
• parent_user_name — Эх процессод бүртгэгдсэн хэрэглэгчийн нэр
• pid — Процессын таниулагч (ID)
• process_md5 — Процессын MD5 хэш
• process_path — Процессын зам
• process_sha — Процессын SHA256 хэш
• product_version — BEST бүтээгдэхүүний хувилбар
• user_name — Процессыг эхлүүлсэн хэрэглэгч.
• user_sid — Процессыг эхлүүлсэн хэрэглэгчийн бүртгэлтэй холбоотой ID.

[
    {
        "parent_user_name": "1022H2X64-N74\\testadmin",
        "integrity_sz": "high",
        "integrity": 12288,
        "ctc_version": "2.13.4.3",
        "parent_integrity": 12288,
        "parent_elevation": 1,
        "process_sha": "81de431987304676134138705fc1c21188ad7f27edf6b77a6551aa693194485e",
        "user_sid": "S-1-5-21-2405739389-2309292873-14435642-1001",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "parent_process_path": "c:\\python36\\pythonw.exe",
        "parent_cmdline": "C:\\framework\\main.py frk",
        "cmdline": "\"C:\\putty9ebd95c0-5eb4-49b6-82ee-e7c7a879a373.exe\"",
        "event_name": "process_create",
        "pid": 7912,
        "process_md5": "b6c12d88eeb910784d75a5e4df954001",
        "elevation_sz": "elevated",
        "elevation": 1,
        "parent_elevation_sz": "elevated",
        "user_name": "1022H2X64-N74\\testadmin",
        "parent_integrity_sz": "high",
        "process_path": "c:\\putty9ebd95c0-5eb4-49b6-82ee-e7c7a879a373.exe",
        "datetime": 1715023630446,
        "mitre_ids": [],
        "os_version": "Windows 10",
        "parent_pid": 2932,
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Terminate (Дуусгах)

Дуусч эсвэл хүчээр зогсоогдсон процессуудыг тодорхойлно.

• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
• datetime — Огноо, цаг (Unix epoch цагийн форматаар).
• event_name — Үйл явдлын нэр.
• event_version — Үйл явдлын хувилбар.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID
• machine_name — Endpoint-ийн хост нэр.
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• pid — Процессын таниулагч (ID)
• product_version — BEST бүтээгдэхүүний хувилбар

[
    {
        "ctc_version": "2.13.4.3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "terminate_process",
        "pid": 7912,
        "datetime": 1715023652647,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Injection (Кодын шахалт)

Хортой үйл ажиллагааг нууцлахад ашигладаг арга болох процесс хоорондын кодын шахалтыг (code injection) тодорхойлно.

• machine_name — Endpoint-ийн хост нэр.
• event_name — Үйл явдлын нэр.
• event_version — Үйл явдлын хувилбар.
• datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
• count — Багтсан үйл явдлын тоо. 1-ээс их утга нь нэгтгэсэн (aggregated) үйл явдлыг заана.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
• product_version — BEST бүтээгдэхүүний хувилбар.
• injection_method_sz — Зорилтот процесст код шахахад ашигласан аргын нэр.

Windows-д боломжит утгууд:
- WindowsHookModule
- WindowsHookThread
- WriteProcessMemory
- MapViewOfSection
- CreateThread
- SetThreadContext
- QueueAPC
- Wow64WriteProcessMemory
- ImageInjection
- ProcessHollowing
- ReflectiveAssemblyLoad

Linux-д боломжит утгууд:
- Inject
- PTrace
- Vm_Write

• injection_method — Шахалтын аргатай холбоотой тоон ID.
• pid — Кодыг шахсан процессын таниулагч (ID).
• victim_pid — Код шахагдсан процессын таниулагч (ID).
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• company_id — GravityZone дахь компанийн ID.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• process_path — Шахалтыг гүйцэтгэсэн процессын зам.
• victim_path — Шахалтын бай болсон процесс, registry түлхүүр эсвэл файлын зам.
• ring — BEST-ийн шинэчлэлтийн ring (шатлал).
• mdr_ep — Bitdefender-ийн үйлчилгээнд ашиглагддаг талбар.
• mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

- name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: Command and Scripting Interpreter.
- id - Mitre техникийн ID (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: T1074.
- subtechniques - Mitre дэд техниктэй холбоотой дараах мэдээллийг агуулна:
- name - Mitre дэд техникийн нэр
- id - Mitre дэд техникийн ID. Жишээ: T1595.002.
- categories - дараах мэдээллийг агуулна:
- categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал

{
    "ctc_version": "0.0.0.10",
    "injection_method_sz": "WriteProcessMemory",
    "machine_name": "1125H2X64-N63",
    "injection_method": 2,
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "count": 1,
    "event_name": "process_injection",
    "pid": 5388,
    "victim_pid": 7712,
    "process_path": "c:\\python-embed\\python-3.11.0-embed-amd64+pip22.3.1+runtime\\python3456.exe",
    "datetime": 1779352462956,
    "victim_path": "c:\\program files\\internet explorer\\iexplore.exe",
    "mitre_ids": [
        {
            "name": "Process Injection",
            "id": "T1055",
            "subtechniques": [
                {
                    "name": "Extra Window Memory Injection",
                    "id": "T1055.011"
                }
            ],
            "categories": [
                "Defense Evasion",
                "Privilege Escalation"
            ]
        },
        {
            "name": "Command and Scripting Interpreter",
            "id": "T1059",
            "subtechniques": [
                {
                    "name": "Python",
                    "id": "T1059.006"
                }
            ],
            "categories": [
                "Execution"
            ]
        },
        {
            "name": "Exploitation for Client Execution",
            "id": "T1203",
            "categories": [
                "Execution"
            ]
        },
        {
            "name": "Subvert Trust Controls",
            "id": "T1553",
            "subtechniques": [
                {
                    "name": "Code Signing",
                    "id": "T1553.002"
                }
            ],
            "categories": [
                "Defense Evasion"
            ]
        }
    ],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "BEB40E42-AC71-30D0-B521-0DB5091D2E64-0050568E39C2",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

File (Файл)

Create (Үүсгэх)

Endpoint дээр эсвэл холбогдсон зөөврийн төхөөрөмж дээр шинээр үүссэн файлуудыг тодорхойлно.

• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
• datetime — Огноо, цаг (Unix epoch цагийн форматаар)
• event_name — Үйл явдлын нэр.
• event_version — Үйл явдлын хувилбар.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• machine_name — Endpoint-ийн хост нэр.
• md5 — Файлын MD5 хэш
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• path — Зам
• pid — Процессын таниулагч (ID)
• process_sha — Файлыг үүсгэсэн процессын SHA256 хэш
• process_md5 — Файлыг үүсгэсэн процессын MD5 хэш
• process_path — Процессын зам
• product_version — BEST бүтээгдэхүүний хувилбар
• sha — Файлын SHA256 хэш
• source_path — Файлыг шинэ байршилд хуулсан үед энэ талбар анхны файлын замыг заана. Үгүй бол талбар хоосон байна.
• user_name — Файлыг үүсгэсэн процессыг эхлүүлсэн хэрэглэгч.

[
    {
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "source_path": "",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "file_create",
        "pid": 6572,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "md5": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "datetime": 1715023843379,
        "path": "c:\\create904acfb1-f484-4282-89a1-7ff5d93dd3ef.txt",
        "os_version": "Windows 10",
        "sha": "",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Delete (Устгах)

Endpoint-д хандах боломжтой локал, алсын эсвэл зөөврийн хадгалалтаас устгагдсан файлуудыг тодорхойлно.

• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
• datetime — Огноо, цаг (Unix epoch цагийн форматаар)
• event_name — Үйл явдлын нэр.
• event_version — Үйл явдлын хувилбар.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• is_remote — Файлд хийсэн өөрчлөлт алсын холболтоор хийгдсэн эсэхийг заана
• machine_name — Endpoint-ийн хост нэр.
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• path — Устгагдсан файлын зам
• pid — Процессын таниулагч (ID)
• process_sha — Файлыг устгасан процессын SHA256 хэш
• process_md5 — Файлыг устгасан процессын MD5 хэш
• process_path — Процессын зам
• product_version — BEST бүтээгдэхүүний хувилбар
• user_name — Файлыг устгасан процессыг эхлүүлсэн хэрэглэгч

[
    {
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "file_delete",
        "pid": 4872,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "is_remote": 0,
        "datetime": 1715023867586,
        "path": "c:\\create904acfb1-f484-4282-89a1-7ff5d93dd3ef.txt",
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Modify (Өөрчлөх)

Файлын агуулга эсвэл шинж чанарын өөрчлөлтийг тодорхойлж, зөвшөөрөлгүй өөрчлөлт хийсэн эсэхийг шалгахад тусална.

• bytes_written — Анх бичигдсэн байтуудын буфер (64K хүртэл)
• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
• datetime — Огноо, цаг (Unix epoch цагийн форматаар)
• entropy — Файлын энтропи (entropy)-ийн утга
• event_name — Үйл явдлын нэр
• event_version — Үйл явдлын хувилбар.
• extra_keys — Үүсэх инцидентэд харуулах нэмэлт мэдээллийн түлхүүрүүд
• extra_values — extra_keys талбарт харгалзах утгууд.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• is_remote — Файлд хийсэн өөрчлөлт алсын холболтоор хийгдсэн эсэхийг заана
• machine_name — Endpoint-ийн хост нэр.
• md5 — Файлын MD5 хэш
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• path — Файлын зам.
• pid — Процессын таниулагч (ID)
• process_sha — Файлыг үүсгэсэн процессын SHA256 хэш
• process_md5 — Файлыг үүсгэсэн процессын MD5 хэш
• process_path — Процессын зам
• product_version — BEST бүтээгдэхүүний хувилбар
• sha — Файлын SHA256 хэш
• type — Файлын төрөлтэй холбоотой ID. Боломжит утгууд:

- 0: executable төрөлтэй тохирно
- 1: document төрөлтэй тохирно
- 2: archive төрөлтэй тохирно
- 3: script төрөлтэй тохирно
- 4: media төрөлтэй тохирно
- 5: possibleimportantformat төрөлтэй тохирно
- 999: unknown төрөлтэй тохирно

• type_sz — Файлын төрөл. Боломжит утгууд:

- executable
- document
- archive
- script
- media
- possibleimportantformat
- unknown

possibleimportantformat нь нэгдсэн ангилал юм. Энэ нь өгөгдөл гадагш алдагдах магадлалтай тул хожим аюулгүй байдлын шалгалтад чухал байж болох файлуудыг бүртгэнэ. Зорилтот файлын өргөтгөлүүд: .3dm, .3ds, .3g2, .3gp, .7z, .aac, .accdb, .ai, .aif, .asd, .asf, .avi, .bmp, .bz2, .cbr, .cda, .csv, .db, .dbf, .dds, .doc, .docx, .dwg, .dxf, .email, .eml, .emlx, .eps, .fdb, .flac, .flv, .frm, .gif, .gpx, .gslides", .gz, .h264, .heic, .ico, .iff, .jpg, .kexi, .key, .kml, .kmz, .log, .lz, .m3u, .m4a, .m4v, .max, .md, .mdb, .mde, .mdf, .mid, .midi, .mkv, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .msg, .obj, .odp, .ods, .odt, .oft, .ogg, .opus, .ost, .pdb, .pdf, .pez, .png, .pot, .pps, .ppt, .pptx, .psd, .pspimage, .pst, .rar, .rm, .rtf, .sqlite, .srt, .svg, .swf, .tar, .tar.gz, .tar.xz, .tex, .tga, .thm, .tif, .tiff, .vcf, .vob, .wav, .wdb, .wma, .wmv, .wpd, .wps, .xlr, .xls, .xls, .xlsm, .xlsx, .xz, .yuv, .zip, болон .zipx.

• user_name — Файлыг өөрчилсөн процессыг эхлүүлсэн хэрэглэгч.

{
        "bytes_written": 0,
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "extra_keys": [],
        "type_sz": "Unknown",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "entropy": 0,
        "event_name": "file_modify",
        "pid": 7580,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "md5": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "is_remote": 0,
        "datetime": 1715024067932,
        "path": "c:\\programdata\\modify2f808a64-a09d-49ff-885c-efd4cdc264bc.txt",
        "extra_values": [],
        "os_version": "Windows 10",
        "sha": "",
        "type": 999,
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

Move (Зөөх)

Endpoint дээр зөөгдсөн эсвэл нэр нь солигдсон файлуудыг тодорхойлно.

• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
• datetime — Огноо, цаг (Unix epoch цагийн форматаар)
• event_name — Үйл явдлын нэр
• event_version — Үйл явдлын хувилбар.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• machine_name — Endpoint-ийн хост нэр.
• md5 — Файлын MD5 хэш
• new_path — Шинэ файлын зам
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• path — Анхны файлын зам
• pid — Процессын таниулагч (ID)
• process_sha — Файлыг зөөсөн процессын SHA256 хэш
• process_md5 — Файлыг зөөсөн процессын MD5 хэш
• process_path — Процессын зам
• product_version — BEST бүтээгдэхүүний хувилбар
• sha — Зөөгдсөн файлын SHA256 хэш
• user_name — Файлыг зөөсөн процессыг эхлүүлсэн хэрэглэгч.

[
    {
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "new_path": "c:\\movee9da5e14-0334-466e-b2e1-e6a801dba9fb.txt",
        "event_name": "file_move",
        "pid": 1724,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "md5": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "datetime": 1715024186114,
        "path": "c:\\windows\\movee9da5e14-0334-466e-b2e1-e6a801dba9fb.txt",
        "os_version": "Windows 10",
        "sha": "",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Read (Унших)

Файлын агуулгад хандсаныг тодорхойлж, эмзэг эсвэл сэжигтэй файлд хандсаныг шалгахад тусална.

• bytes_read — Файлаас уншсан байтын тоо
• company_id — GravityZone дахь компанийн ID.
• ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
• datetime — Огноо, цаг (Unix epoch цагийн форматаар)
• entropy — Файлын энтропи (entropy)-ийн утга
• event_name — Үйл явдлын нэр.
• event_version — Үйл явдлын хувилбар.
• extra_keys — Үүсэх инцидентэд харуулах нэмэлт мэдээллийн түлхүүрүүд
• extra_values — extra_keys талбарт харгалзах утгууд.
• hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
• is_remote — Файлыг алсын холболтоор уншсан эсэхийг заана
• machine_name — Endpoint-ийн хост нэр.
• os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
• os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
• os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
• os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
• path — Файлын зам.
• pid — Процессын таниулагч (ID)
• process_md5 — Процессын MD5 хэш
• process_path — Процессын зам
• process_sha — Процессын SHA256 хэш
• product_version — BEST бүтээгдэхүүний хувилбар
• type — Файлын төрөлтэй холбоотой ID. Боломжит утгууд:

- 0: executable төрөлтэй тохирно
- 1: document төрөлтэй тохирно
- 2: archive төрөлтэй тохирно
- 3: script төрөлтэй тохирно
- 4: media төрөлтэй тохирно
- 5: possibleimportantformat төрөлтэй тохирно
- 999: unknown төрөлтэй тохирно

• type_sz — Файлын төрөл. Боломжит утгууд:

- executable
- document
- archive
- script
- media
- possibleimportantformat
- unknown

possibleimportantformat нь нэгдсэн ангилал юм. Энэ нь өгөгдөл гадагш алдагдах магадлалтай тул хожим аюулгүй байдлын шалгалтад чухал байж болох файлуудыг бүртгэнэ. Зорилтот файлын өргөтгөлүүд: .3dm, .3ds, .3g2, .3gp, .7z, .aac, .accdb, .ai, .aif, .asd, .asf, .avi, .bmp, .bz2, .cbr, .cda, .csv, .db, .dbf, .dds, .doc, .docx, .dwg, .dxf, .email, .eml, .emlx, .eps, .fdb, .flac, .flv, .frm, .gif, .gpx, .gslides", .gz, .h264, .heic, .ico, .iff, .jpg, .kexi, .key, .kml, .kmz, .log, .lz, .m3u, .m4a, .m4v, .max, .md, .mdb, .mde, .mdf, .mid, .midi, .mkv, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .msg, .obj, .odp, .ods, .odt, .oft, .ogg, .opus, .ost, .pdb, .pdf, .pez, .png, .pot, .pps, .ppt, .pptx, .psd, .pspimage, .pst, .rar, .rm, .rtf, .sqlite, .srt, .svg, .swf, .tar, .tar.gz, .tar.xz, .tex, .tga, .thm, .tif, .tiff, .vcf, .vob, .wav, .wdb, .wma, .wmv, .wpd, .wps, .xlr, .xls, .xls, .xlsm, .xlsx, .xz, .yuv, .zip, болон .zipx.

• user_name — Файлаас уншсан процессыг эхлүүлсэн хэрэглэгч

[
    {
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "extra_keys": [],
        "type_sz": "Unknown",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "entropy": 0,
        "event_name": "file_read",
        "pid": 8756,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "is_remote": 0,
        "datetime": 1715024308353,
        "path": "c:\\programdata\\readfileaf8f7981-30ed-4661-8ced-a34ad484c872.txt",
        "bytes_read": 4096,
        "extra_values": [],
        "os_version": "Windows 10",
        "type": 999,
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]