SIEM Security Telemetry үйл явдлууд: Scheduled task · Account management and authentication

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Scheduled task (Товлосон даалгавар)

Энэ ангиллын үйл явдлууд зөвхөн Windows болон macOS үйлдлийн системд боломжтой.

Create (Үүсгэх)

Endpoint дээр шинэ товлосон даалгавар бүртгэгдсэнийг тэмдэглэнэ. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit Other Object Access Events бодлогыг идэвхжүүлнэ.

machine_name — Endpoint-ийн хост нэр.
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
product_version — BEST бүтээгдэхүүний хувилбар.
name — Товлосон даалгаврын нэр.
target_path — Товлосон даалгаварт тохируулсан зорилтот файлын зам.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, macos.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
cmdline — Товлосон даалгавартай холбоотой командын мөр.
pid — Товлосон даалгаврыг үүсгэсэн процессын таниулагч (ID).
process_path — Товлосон даалгаврыг үүсгэсэн процессын зам.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

- name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: Command and Scripting Interpreter.
- id - Mitre техникийн ID (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: T1074.
- subtechniques - Mitre дэд техниктэй холбоотой дараах мэдээллийг агуулна:
- name - Mitre дэд техникийн нэр
- id - Mitre дэд техникийн ID. Жишээ: T1595.002.
- categories - дараах мэдээллийг агуулна:
- categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал

{
    "ctc_version": "0.0.0.10",
    "name": "\\b5260980-ac24-48ed-8",
    "target_path": "c:\\windows\\system32\\notepad.exe",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "cmdline": "",
    "event_name": "scheduled_task_create",
    "pid": 2152,
    "process_path": "c:\\windows\\system32\\schtasks.exe",
    "datetime": 1779360034276,
    "mitre_ids": [
        {
            "name": "Scheduled Task/Job",
            "id": "T1053",
            "subtechniques": [
                {
                    "name": "Scheduled Task",
                    "id": "T1053.005"
                }
            ],
            "categories": [
                "Execution",
                "Persistence",
                "Privilege Escalation"
            ]
        },
        {
            "name": "Command and Scripting Interpreter",
            "id": "T1059",
            "categories": [
                "Execution"
            ]
        },
        {
            "name": "Exploitation for Client Execution",
            "id": "T1203",
            "categories": [
                "Execution"
            ]
        }
    ],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Delete (Устгах)

Товлосон даалгавар устгагдсаныг тэмдэглэнэ. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit Other Object Access Events бодлогыг идэвхжүүлнэ.

machine_name — Endpoint-ийн хост нэр.
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
product_version — BEST бүтээгдэхүүний хувилбар.
name — Товлосон даалгаврын нэр.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, macos.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
pid — Товлосон даалгаврыг устгасан процессын таниулагч (ID).
process_path — Товлосон даалгаврыг устгасан процессын зам.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

{
    "ctc_version": "0.0.0.10",
    "name": "\\b5260980-ac24-48ed-8",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "scheduled_task_delete",
    "pid": 7268,
    "process_path": "c:\\windows\\system32\\schtasks.exe",
    "datetime": 1779360073854,
    "mitre_ids": [
        {
            "name": "Scheduled Task/Job",
            "id": "T1053",
            "subtechniques": [
                {
                    "name": "Scheduled Task",
                    "id": "T1053.005"
                }
            ],
            "categories": [
                "Execution",
                "Persistence",
                "Privilege Escalation"
            ]
        }
    ],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Modify (Өөрчлөх)

Товлосон даалгаврын тодорхойлолт, үйлдэл эсвэл тохиргооны өөрчлөлтийг тэмдэглэнэ. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit Other Object Access Events бодлогыг идэвхжүүлнэ.

machine_name — Endpoint-ийн хост нэр.
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
product_version — BEST бүтээгдэхүүний хувилбар.
name — Товлосон даалгаврын нэр.
new_target_path — Товлосон даалгаварт тохируулсан шинэ зорилтот зам.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, macos.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
new_cmdline — Товлосон даалгавартай холбоотой шинэ командын мөр.
pid — Товлосон даалгаврыг өөрчилсөн процессын таниулагч (ID).
process_path — Товлосон даалгаврыг өөрчилсөн процессын зам.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

{
    "ctc_version": "0.0.0.10",
    "name": "\\b5260980-ac24-48ed-8",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "scheduled_task_modify",
    "pid": 1628,
    "process_path": "c:\\windows\\system32\\schtasks.exe",
    "datetime": 1779360044733,
    "new_target_path": "c:\\windows\\system32\\notepad.exe",
    "mitre_ids": [],
    "os_version": "Windows 11",
    "new_cmdline": "",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Account management and authentication (Бүртгэл удирдлага ба нэвтрэлт баталгаажуулалт)

Create local account (Локал бүртгэл үүсгэх)

Шинээр үүсгэсэн хэрэглэгчийн бүртгэлийг тодорхойлно. Энэ үйл явдал зөвхөн Windows үйлдлийн системд боломжтой.

target_user_name — Үүсгэсэн хэрэглэгчийн бүртгэлийн нэр.
target_user_domain — Үүсгэсэн хэрэглэгчийн бүртгэлийн домэйн.
result — Хэрэглэгчийн бүртгэл үүссэн эсэхийг заана. Боломжит утгууд:

- true - Хэрэглэгчийн бүртгэл үүссэн.
- false - Хэрэглэгчийн бүртгэл үүсээгүй.

subject_logon_id — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн logon таниулагч (ID).
user_name — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн нэр.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "machine_name": "1125H2X64-N68",
    "target_user_name": "rawusere774",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "result": true,
    "event_name": "user_account_create",
    "target_user_domain": "1125H2X64-N68",
    "user_name": "TestAdmin 1125H2X64-N68",
    "datetime": 1779360076558,
    "mitre_ids": [],
    "subject_logon_id": 265346,
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Delete local account (Локал бүртгэл устгах)

Устгагдсан хэрэглэгчийн бүртгэлийг тодорхойлж, бүртгэл удирдлагын үйл ажиллагааг мөшгихөд тусална. Энэ үйл явдал зөвхөн Windows үйлдлийн системд боломжтой.

target_user_name — Устгагдсан хэрэглэгчийн бүртгэлийн нэр.
target_user_domain — Устгагдсан хэрэглэгчийн бүртгэлийн домэйн.
result — Хэрэглэгчийн бүртгэл устгагдсан эсэхийг заана. Боломжит утгууд:

- true - Хэрэглэгчийн бүртгэл устгагдсан.
- false - Хэрэглэгчийн бүртгэл устгагдаагүй.

subject_logon_id — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн logon таниулагч (ID).
user_name — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн нэр.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "machine_name": "1125H2X64-N68",
    "target_user_name": "rawusere774",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "result": true,
    "event_name": "user_account_delete",
    "target_user_domain": "1125H2X64-N68",
    "user_name": "TestAdmin 1125H2X64-N68",
    "datetime": 1779360125926,
    "mitre_ids": [],
    "subject_logon_id": 265346,
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Logon (Нэвтрэх)

Хэрэглэгчийн амжилттай нэвтрэлтийг бүртгэж, бүртгэл endpoint-д хандсан үеийг тэмдэглэнэ. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit Logon бодлогыг идэвхжүүлнэ.

company_id — GravityZone дахь компанийн ID.
ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
datetime — Огноо, цаг (Unix epoch цагийн форматаар)
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
ip_source — Эх IP хаяг
logon_type — Logon төрөлтэй холбоотой ID. Боломжит утгууд:

- 0: system logon төрөлтэй тохирно
- 2: interactive logon төрөлтэй тохирно
- 3: network logon төрөлтэй тохирно
- 4: batch logon төрөлтэй тохирно
- 5: service logon төрөлтэй тохирно
- 7: unlock logon төрөлтэй тохирно
- 8: networkcleartext logon төрөлтэй тохирно
- 9: newcredentials logon төрөлтэй тохирно
- 10: remoteinteractive logon төрөлтэй тохирно
- 11: cachedinteractive logon төрөлтэй тохирно
- 12: cachedremoteinteractive logon төрөлтэй тохирно
- 13: cachedunlock logon төрөлтэй тохирно
- 255: invalid logon төрөлтэй тохирно

logon_type_sz — Нэвтрэлтийн төрөл. Боломжит утгууд:

- system
- interactive
- network
- batch
- service
- unlock
- networkcleartext
- newcredentials
- remoteinteractive
- cachedinteractive
- cachedremoteinteractive
- cachedunlock
- invalid

Эдгээр logon төрлийн талаар дэлгэрэнгүйг Logon types and descriptions-аас үзнэ үү.

machine_name — Endpoint-ийн хост нэр.
os_family — Үйлдлийн системийн төрөл. Боломжит утгууд: windows, linux, macos.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
product_version — BEST бүтээгдэхүүний хувилбар.
user_name — Нэвтэрсэн хэрэглэгч.

{
        "ctc_version": "2.13.4.3",
        "logon_type_sz": "interactive",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "log_on",
        "user_name": "6e925f53-8d3c-4716-b",
        "logon_type": 2,
        "datetime": 1715025164820,
        "ip_source": "::1",
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

Logon failed (Нэвтрэлт амжилтгүй)

Амжилтгүй нэвтрэх оролдлогыг бүртгэж, боломжит асуудлыг шалгахад тусална. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit Logon бодлогыг идэвхжүүлнэ. Энэ үйл явдал зөвхөн Windows болон Linux үйлдлийн системд боломжтой.

machine_name — Endpoint-ийн хост нэр.
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
product_version — BEST бүтээгдэхүүний хувилбар.
logon_type — Logon төрөлтэй холбоотой тоон ID. Боломжит утгууд:

ip_source — Нэвтрэх оролдлогын эх IP хаяг.
user_name — Амжилтгүй нэвтрэх оролдлоготой холбоотой хэрэглэгчийн бүртгэлийн нэр.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
logon_type_sz — Logon төрлийн нэр. Боломжит утгууд:

Эдгээр logon төрлийн талаар дэлгэрэнгүйг Logon types and descriptions-аас үзнэ үү.

failure_status — Амжилтгүй нэвтрэх оролдлогын шалтгааныг заасан төлөвийн код. Боломжит утгууд:

- 3221225572 - Хэрэглэгчийн нэр байхгүй.
- 3221225578 - Хэрэглэгчийн нэр зөв боловч нууц үг буруу.
- 3221226036 - Хэрэглэгчийн бүртгэл түгжигдсэн.
- 3221225586 - Хэрэглэгчийн бүртгэл идэвхгүй болсон.
- 3221225583 - Нэвтрэх оролдлого зөвшөөрөгдсөн өдөр, цагийн хязгаараас гадуур хийгдсэн.
- 3221225584 - Ажлын станцын хязгаарлалт эсвэл Authentication Policy Silo-ийн зөрчил гарсан.
- 3221225875 - Хэрэглэгчийн бүртгэлийн хугацаа дууссан.
- 3221225585 - Нууц үгийн хугацаа дууссан.
- 3221225779 - Домэйн контроллер болон нөгөө компьютерийн цаг синхрончлогдоогүй байна.
- 3221226020 - Хэрэглэгч дараагийн нэвтрэлтээр нууц үгээ солих ёстой.
- 3221226021 - Windows-ийн асуудлыг заадаг бөгөөд аюулгүй байдлын эрсдэл биш.
- 3221225819 - Хэрэглэгчид endpoint дээр хүссэн logon төрлийг олгоогүй байна.

ring — BEST-ийн шинэчлэлтийн ring (шатлал).
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

{
    "ctc_version": "0.0.0.10",
    "logon_type_sz": "interactive",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "log_on_failed",
    "user_name": "REvtUsr2a45",
    "logon_type": 2,
    "failure_status": 0,
    "datetime": 1779359975395,
    "mitre_ids": [],
    "ip_source": "0.0.0.0",
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Logout (Гарах)

Хэрэглэгчийн сесс дууссаныг тодорхойлно. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit Logoff бодлогыг идэвхжүүлнэ. Энд үзүүлсэн алхмуудыг дагаж, 3-р алхамд оронд нь Audit Logoff бодлогыг нээнэ.

company_id — GravityZone дахь компанийн ID.
ctc_version — CTC аюулгүй байдлын гарын үсгийн хувилбар
datetime — Огноо, цаг (Unix epoch цагийн форматаар)
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
machine_name — Endpoint-ийн хост нэр.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
product_version — BEST бүтээгдэхүүний хувилбар
user_name — Гарсан хэрэглэгч

 {
        "ctc_version": "2.13.4.3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "log_out",
        "user_name": "6e925f53-8d3c-4716-b",
        "datetime": 1715025164820,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

Settings changed (Тохиргоо өөрчлөгдсөн)

Хэрэглэгчийн бүртгэл болон түүний аюулгүй байдлын тохиргооны өөрчлөлтийг тодорхойлно. Үйл явдлыг авахын тулд эхлээд endpoint дээр Audit User Account Management бодлогыг идэвхжүүлнэ. Энэ үйл явдал зөвхөн Windows үйлдлийн системд боломжтой.

machine_name — Endpoint-ийн хост нэр.
event_name — Үйл явдлын нэр.
event_version — Үйл явдлын хувилбар.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
product_version — BEST бүтээгдэхүүний хувилбар.
result — Бүртгэлийн тохиргоо өөрчлөх үйлдлийн үр дүн. Боломжит утгууд:

- 0 - Successful (амжилттай)
- 1 - Failed (амжилтгүй)
- 2 - Unknown (тодорхойгүй)
- 255 - Invalid (хүчингүй)

user_name — Өөрчлөлтөд өртсөн хэрэглэгчийн бүртгэлийн нэр.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
operation — Хийгдсэн бүртгэлийн үйлдэл. Боломжит утгууд:

- 0 - None (байхгүй)
- 1 - Enable account (бүртгэлийг идэвхжүүлэх)
- 2 - Disable account (бүртгэлийг идэвхгүй болгох)
- 3 - Delete account (бүртгэл устгах)
- 4 - Lock account (бүртгэл түгжих)
- 5 - Unlock account (бүртгэл түгжээг тайлах)
- 6 - Change password (нууц үг солих)
- 7 - Reset password (нууц үг шинэчлэх)
- 8 - Add to security group (аюулгүй байдлын бүлэгт нэмэх)
- 9 - Remove from security group (аюулгүй байдлын бүлгээс хасах)
- 10 - Unknown (тодорхойгүй)

ring — BEST-ийн шинэчлэлтийн ring (шатлал).
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

{
    "ctc_version": "0.0.0.10",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "result": 2,
    "event_name": "user_account_settings_change",
    "user_name": "rawusere774",
    "operation": 7,
    "datetime": 1779360076689,
    "mitre_ids": [],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Policy: Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
Network: Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.