SIEM Security Telemetry үйл явдлууд: Registry · Network

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Registry (Windows бүртгэл)

Энэ ангиллын үйл явдлууд зөвхөн Windows үйлдлийн системд боломжтой.

Create key (Түлхүүр үүсгэх)

Шинээр үүсгэсэн registry түлхүүрүүдийг тодорхойлно.

company_id — GravityZone дахь компанийн ID.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
datetime — Огноо, цаг (Unix epoch цагийн форматаар).
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
key_path — Registry түлхүүрийн зам.
machine_name — Endpoint-ийн хост нэр.
operation — Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд:

- create
- write
- delete

os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
pid — Процессын таниулагч (ID).
product_version — BEST бүтээгдэхүүний хувилбар.
user_name — Registry түлхүүрийг үүсгэсэн процессыг эхлүүлсэн хэрэглэгч.

[
    {
        "ctc_version": "2.13.4.3",
        "key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_keyaecf3fbc-038b-4cf6-a819-fffbf0080c54",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "reg_create_key",
        "pid": 9476,
        "user_name": "",
        "operation": "create",
        "datetime": 1715024773966,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Delete key (Түлхүүр устгах)

Устгагдсан registry түлхүүрүүдийг тодорхойлно.

company_id — GravityZone дахь компанийн ID.
datetime — Огноо, цаг (Unix epoch цагийн форматаар)
event_name — Үйл явдлын нэр
event_version — Үйл явдлын хувилбар.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
key_path — Registry түлхүүрийн зам
machine_name — Endpoint-ийн хост нэр.
operation — Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд:

- create
- write
- delete

os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
pid — Процессын таниулагч (ID)
product_version — BEST бүтээгдэхүүний хувилбар
user_name — Registry түлхүүрийг устгасан процессыг эхлүүлсэн хэрэглэгч.

[
    {
        "ctc_version": "2.13.4.3",
        "key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_keyaecf3fbc-038b-4cf6-a819-fffbf0080c54",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "reg_delete_key",
        "pid": 3456,
        "user_name": "",
        "operation": "delete",
        "datetime": 1715024776201,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Delete value (Утга устгах)

Одоо байгаа түлхүүрээс устгагдсан registry утгуудыг тодорхойлно.

company_id — GravityZone дахь компанийн ID.
ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
datetime — Огноо, цаг (Unix epoch цагийн форматаар)
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
key_path — Registry түлхүүрийн зам
machine_name — Хост нэр
operation — Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд:

- create
- write
- delete

os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
pid — Процессын таниулагч (ID)
product_version — BEST бүтээгдэхүүний хувилбар
user_name — Registry утгыг устгасан процессыг эхлүүлсэн хэрэглэгч.
value — Registry утга

[
    {
        "ctc_version": "2.13.4.3",
        "key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_key_c0fcd233-788d-4449-983f-e6e1de1026ce",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "reg_delete_value",
        "pid": 9996,
        "value": "4ce93d69-8da7-48de-b967-3bc4011302aa",
        "user_name": "",
        "operation": "delete",
        "datetime": 1715024962726,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Modify value (Утга өөрчлөх)

Registry утгын өөрчлөлтийг тодорхойлно.

company_id — GravityZone дахь компанийн ID.
ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
data — Утганд бичигдсэн өгөгдөл
data_type — Registry өгөгдлийн төрөлтэй холбоотой ID. Боломжит утгууд:

- 0: none өгөгдлийн төрөлтэй тохирно
- 1: string өгөгдлийн төрөлтэй тохирно
- 2: expandablestring өгөгдлийн төрөлтэй тохирно
- 3: binary өгөгдлийн төрөлтэй тохирно
- 4: dword өгөгдлийн төрөлтэй тохирно
- 5: dwordbigendian өгөгдлийн төрөлтэй тохирно
- 6: link өгөгдлийн төрөлтэй тохирно
- 7: multistring өгөгдлийн төрөлтэй тохирно
- 8: resourcelist өгөгдлийн төрөлтэй тохирно
- 9: resourcedescriptor өгөгдлийн төрөлтэй тохирно
- 10: resourcerequirements өгөгдлийн төрөлтэй тохирно
- 11: qword өгөгдлийн төрөлтэй тохирно

data_type_sz — Registry утгын өгөгдлийн формат. Боломжит утгууд:

- none
- string
- expandablestring
- binary
- dword
- dwordbigendian
- link
- multistring
- resourcelist
- resourcedescriptor
- resourcerequirements
- qword

Эдгээр өгөгдлийн форматын талаар дэлгэрэнгүйг Registry value types-аас үзнэ үү.

datetime — Огноо, цаг (Unix epoch цагийн форматаар)
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
key_path — Registry түлхүүрийн зам
machine_name — Endpoint-ийн хост нэр.
operation — Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд:

- create
- write
- delete

os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
pid — Процессын таниулагч (ID)
product_version — BEST бүтээгдэхүүний хувилбар
user_name — Registry утгыг өөрчилсөн процессыг эхлүүлсэн хэрэглэгч.
value — Registry утга

[
    {
        "ctc_version": "2.13.4.3",
        "key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_key_c0fcd233-788d-4449-983f-e6e1de1026ce",
        "data_type_sz": "dword",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "reg_modify_value",
        "pid": 2320,
        "value": "4ce93d69-8da7-48de-b967-3bc4011302aa",
        "user_name": "",
        "operation": "create",
        "data": "1",
        "datetime": 1715024938841,
        "data_type": 4,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Network (Сүлжээ)

Connection (Холболт)

Endpoint дээрх сүлжээний холболтыг тодорхойлж, гадаад болон дотоод харилцаа холбоог шалгахад тусална.

Connection үйл явдлыг авахын тулд зорилтот endpoint-уудад Network Attack Defense модулийг суулгаж, хэрэглэсэн бодлогод (policy) идэвхжүүлсэн байх шаардлагатай.

bytes_sent — Эх endpoint-оос илгээсэн байтын тоо
bytes_received — Очих endpoint хүлээн авсан байтын тоо
company_id — GravityZone дахь компанийн ID.
ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
datetime — Огноо, цаг (Unix epoch цагийн форматаар)
direction — Сүлжээний холболт хаанаас эхэлснийг, өөрөөр хэлбэл inbound (орж ирэх) эсвэл outbound (гарах) эсэхийг заана.
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
ip_dest — Очих IP хаяг
ip_source — Эх IP хаяг
machine_name — Endpoint-ийн хост нэр.
operation — Сүлжээний үйлдлийн төрлийг заана. Жишээ: connect, disconnect.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
pid — Процессын таниулагч (ID)
port_dest — Очих порт
port_source — Эх порт
process_path — Процессын зам
product_version — BEST бүтээгдэхүүний хувилбар

 {
        "port_source": 54788,
        "port_dest": 8089,
        "bytes_sent": 0,
        "ctc_version": "2.13.4.3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "ip_dest": "10.17.130.193",
        "event_name": "network_connection",
        "pid": 2932,
        "direction": "outbound",
        "operation": "disconnect",
        "bytes_received": 0,
        "process_path": "c:\\python36\\pythonw.exe",
        "datetime": 1715023721139,
        "ip_source": "10.25.102.114",
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

DNS query (DNS хүсэлт)

Домэйн нэр хөрвүүлэх хүсэлтүүдийг тодорхойлно.

DNS query үйл явдлыг авахын тулд зорилтот endpoint-уудад Network Attack Defense модулийг суулгаж, хэрэглэсэн бодлогод идэвхжүүлсэн байх шаардлагатай. DNS query үйл явдлыг идэвхжүүлбэл лог маш их хэмжээгээр үүсч, SIEM-тэй холбоотой зардал нэмэгдэж болзошгүй.

event_name — Үйл явдлын нэр
event_version — Үйл явдлын хувилбар
datetime — Огноо, цаг (Unix epoch цагийн форматаар)
ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
product_version — BEST бүтээгдэхүүний хувилбар
process_name — DNS хүсэлт илгээсэн процессын нэр
process_path — DNS хүсэлт илгээсэн процессын зам.
response_code — Resolver-ээс буцаасан DNS хариултын төлөвийн код; хүсэлтийн үр дүнг заана.
response_count — DNS хариултад буцаасан нөөцийн бичлэгийн (resource record) тоо. Хүссэн домэйны хариултад багтсан бичлэгийн тоог илэрхийлнэ.
transport_protocol — DNS хүсэлт илгээхэд ашигласан дамжуулалтын түвшний (transport-layer) протокол
pid — Endpoint дээр DNS хүсэлт эхлүүлсэн процессын таниулагч (ID).
pid_timestamp — Процесс үүссэн цаг.
ip_source — Эх IP хаяг
query_type — Хүсэлтэд заасан DNS бичлэгийн төрөл. Жишээ: AAAA, MX, CNAME
domain — DNS хүсэлтэд заасан бүрэн нэр (FQDN)
resolver_ip — Хүсэлт илгээсэн DNS серверийн (resolver) IP хаяг.
resolver_port — Хүсэлтийг дамжуулахад ашигласан DNS resolver-ийн очих порт
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
direction — Сүлжээний холболт хаанаас эхэлснийг, өөрөөр хэлбэл inbound (орж ирэх) эсвэл outbound (гарах) эсэхийг заана.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
mac_source — DNS хүсэлт эхлүүлсэн endpoint-ийн сүлжээний интерфейсийн MAC хаяг.
mac_dest — Очих сүлжээний төхөөрөмжийн MAC хаяг
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, macos.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
company_id — GravityZone дахь компанийн ID.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
machine_name — Endpoint-ийн хост нэр.
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

- name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: Command and Scripting Interpreter.
- id - Mitre техникийн ID (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: T1074.
- subtechniques - Mitre дэд техниктэй холбоотой дараах мэдээллийг агуулна:
- name - Mitre дэд техникийн нэр
- id - Mitre дэд техникийн ID. Жишээ: T1595.002.
- categories - дараах мэдээллийг агуулна:
- categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал

resulted_ip_list — Хүссэн домэйны DNS хариултад буцаасан IP хаягуудын жагсаалт. Олон IPv4 болон/эсвэл IPv6 хаяг байж болно.
response_data — Хүсэлттэй холбоотой түүхий эсвэл задлагдсан DNS хариултын өгөгдөл. Буцаасан бичлэгүүд (AAAA, TXT, CNAME гэх мэт), TTL утгууд, хариултын кодууд эсвэл нэмэлт нөөцийн бичлэгүүд багтаж болно.

{
		"port_source": 51186,
		"ctc_version": "2.25.2.2",
		"pid_timestamp": 1762773234392,
		"query_type": "AAAA",
		"extra_keys": [],
		"machine_name": "2K19-M64",
		"ring": "slow",
		"event_version": 1,
		"resulted_ip_list": [],
		"response_count": 0,
		"event_name": "dns_query",
		"pid": 1596,
		"mac_source": "00:50:56:8e:2e:7b",
		"direction": "outbound",
		"response_data": [],
		"resolver_port": 53,
		"resolver_ip": "172.23.22.13",
		"datetime": 1762776513635,
		"extra_values": [],
		"domain": "server-01.prod.example.com",
		"mitre_ids": [
			{
				"name": "Command and Scripting Interpreter",
				"id": "T1059",
				"categories": [
					"Execution"
				]
			},
			{
				"name": "Application Layer Protocol",
				"id": "T1071",
				"subtechniques": [
					{
						"name": "DNS",
						"id": "T1071.004"
					}
				],
				"categories": [
					"Command and Control"
				]
			},
			{
				"name": "System Services",
				"id": "T1569",
				"subtechniques": [
					{
						"name": "Service Execution",
						"id": "T1569.002"
					}
				],
				"categories": [
					"Execution"
				]
			},
			{
				"name": "Non-Standard Port",
				"id": "T1571",
				"categories": [
					"Command and Control"
				]
			}
		],
		"ip_source": "10.25.100.178",
		"transport_protocol": "dns",
		"os_version": "Windows Server 2019",
		"response_code": 0,
		"process_name": "svchost.exe",
		"company_id": "5b9bc2701da197f07a8b4567",
		"hardware_id": "138F0E42-F7C0-1721-E545-4DE8DDCCB47E-0050568E2E7B",
		"os_family": "windows",
		"os_platform": "x64",
		"os_type": "server",
		"product_version": "0.3.201.673"
	}

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Policy: Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
Network: Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.