SIEM Security Telemetry үйл явдлууд: BITS job activity · WMI activity

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

BITS job activity (BITS ажлын үйл ажиллагаа)

Энэ ангиллын үйл явдлууд зөвхөн Windows үйлдлийн системд боломжтой.

Add file (Файл нэмэх)

BITS ажилд нэмэгдсэн файлуудыг тодорхойлно.

pid — Файлыг BITS ажилд нэмсэн процессын таниулагч (ID).
process_path — Файлыг BITS ажилд нэмсэн процессын зам.
name — BITS ажлын нэр.
guid — BITS ажлын давтагдашгүй таниулагч.
creator — BITS ажлыг үүсгэсэн хэрэглэгч.
remote_path — BITS ажил файлыг татаж авдаг алсын зам.
local_path — BITS ажил файлыг татаж хадгалдаг локал зам.
file_count — BITS ажлын файлын шинэ тоо.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

- name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: Command and Scripting Interpreter.
- id - Mitre техникийн ID (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: T1074.
- subtechniques - Mitre дэд техниктэй холбоотой дараах мэдээллийг агуулна:
- name - Mitre дэд техникийн нэр
- id - Mitre дэд техникийн ID. Жишээ: T1595.002.
- categories - дараах мэдээллийг агуулна:
- categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "name": "BITS Transfer",
    "local_path": "C:\\temp\\bits2.txt",
    "remote_path": "https://www.microsoft.com/robots.txt",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "guid": "{4D69FB61-591D-4714-A6F4-579EB97AE530}",
    "creator": "1125H2X64-N68\\TestAdmin",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "bits_job_file_added",
    "pid": 8428,
    "file_count": 2,
    "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
    "datetime": 1779360311695,
    "mitre_ids": [],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Create (Үүсгэх)

Шинээр үүсгэсэн BITS ажлуудыг тодорхойлно.

pid — BITS ажлыг үүсгэсэн процессын таниулагч (ID).
process_path — BITS ажлыг үүсгэсэн процессын зам.
name — BITS ажлын нэр.
guid — BITS ажлын давтагдашгүй таниулагч.
creator — BITS ажлыг үүсгэсэн хэрэглэгч.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "name": "BITS Transfer",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "guid": "{4D69FB61-591D-4714-A6F4-579EB97AE530}",
    "creator": "1125H2X64-N68\\TestAdmin",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "bits_job_created",
    "pid": 8428,
    "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
    "datetime": 1779360310100,
    "mitre_ids": [],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Delete (Устгах)

Устгагдсан, цуцлагдсан эсвэл дууссан BITS ажлуудыг тодорхойлно.

pid — BITS ажлыг устгасан процессын таниулагч (ID).
process_path — BITS ажлыг устгасан процессын зам.
name — BITS ажлын нэр.
guid — BITS ажлын давтагдашгүй таниулагч.
creator — BITS ажлыг үүсгэсэн хэрэглэгч.
file_count — BITS ажлын файлын тоо.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "name": "BITS Transfer",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "guid": "{4D69FB61-591D-4714-A6F4-579EB97AE530}",
    "creator": "1125H2X64-N68\\TestAdmin",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "bits_job_deleted",
    "pid": 8428,
    "file_count": 2,
    "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
    "datetime": 1779360316474,
    "mitre_ids": [],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

WMI activity (WMI үйл ажиллагаа)

Энэ ангиллын үйл явдлууд зөвхөн Windows үйлдлийн системд боломжтой.

Execution method (Гүйцэтгэх арга)

Windows Management Instrumentation (WMI)-ээр гүйцэтгэсэн аргууд болон тэдгээрийн үүсгэсэн процессуудыг тодорхойлно.

pid — Процессын таниулагч (ID).
process_path — Процессын зам.
class_name — WMI классын нэр.
is_local — Үйл ажиллагаа локал эсэхийг заана. Боломжит утгууд:

- true - Локал
- false - Локал биш

command_line — WMI аргаар үүсгэсэн процессын командын мөр.
created_process — WMI аргаар үүсгэсэн процессын таниулагч (ID).
user_db_uid — Үйл ажиллагаатай холбоотой хэрэглэгчийг тодорхойлоход ашиглах таниулагч.
method_name — Гүйцэтгэсэн WMI аргын нэр.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "method_name": "Create",
    "ctc_version": "0.0.0.10",
    "user_db_uid": 7,
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "is_local": true,
    "event_version": 1,
    "mdr_ep": -1,
    "class_name": "Win32_Process",
    "event_name": "wmi_exec_method",
    "pid": 2508,
    "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
    "datetime": 1779360169835,
    "mitre_ids": [
        {
            "name": "Obfuscated Files or Information",
            "id": "T1027",
            "subtechniques": [
                {
                    "name": "Fileless Storage",
                    "id": "T1027.011"
                }
            ],
            "categories": [
                "Defense Evasion"
            ]
        },
        {
            "name": "Windows Management Instrumentation",
            "id": "T1047",
            "categories": [
                "Execution"
            ]
        },
        {
            "name": "Command and Scripting Interpreter",
            "id": "T1059",
            "subtechniques": [
                {
                    "name": "PowerShell",
                    "id": "T1059.001"
                }
            ],
            "categories": [
                "Execution"
            ]
        },
        {
            "name": "Exploitation for Client Execution",
            "id": "T1203",
            "categories": [
                "Execution"
            ]
        },
        {
            "name": "Event Triggered Execution",
            "id": "T1546",
            "subtechniques": [
                {
                    "name": "Windows Management Instrumentation Event Subscription",
                    "id": "T1546.003"
                }
            ],
            "categories": [
                "Privilege Escalation",
                "Persistence"
            ]
        }
    ],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

New activity (Шинэ үйл ажиллагаа)

Windows Management Instrumentation (WMI)-ийн үйл ажиллагааг, тухайлбал endpoint дээр хийсэн хүсэлт, үйлдлүүдийг тодорхойлно.

pid — Процессын таниулагч (ID).
process_path — Процессын зам.
action — Шинэ WMI үйл ажиллагааны гүйцэтгэсэн үйлдэл.
operation — Гүйцэтгэсэн WMI үйлдэл.
is_local — Үйл ажиллагаа локал эсэхийг заана. Боломжит утгууд:

- true - Локал
- false - Локал биш

group_id — WMI үйл ажиллагааны бүлгийн таниулагч.
operation_id — WMI үйл ажиллагааны үйлдлийн таниулагч.
user_db_uid — Үйл ажиллагаатай холбоотой хэрэглэгчийг тодорхойлоход ашиглах таниулагч.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "group_id": 11457,
    "operation_id": 11458,
    "user_db_uid": 4,
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "action": "ExecQuery",
    "is_local": true,
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "wmi_new_activity",
    "pid": 2972,
    "operation": "Start IWbemServices::ExecQuery - ROOT\\StandardCimv2 : SELECT * FROM MSFT_NetAdapterStatisticsSettingData WHERE Name = 'Ethernet0'",
    "process_path": "c:\\windows\\system32\\svchost.exe",
    "datetime": 1779361047946,
    "mitre_ids": [
        {
            "name": "Windows Management Instrumentation",
            "id": "T1047",
            "categories": [
                "Execution"
            ]
        }
    ],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

New binding (Шинэ холбоос)

Хадгалагдан үлдэх (persistence) зорилгоор ашиглагдаж болох Windows Management Instrumentation (WMI) үйл явдлын бүрэлдэхүүн хэсгүүдийн хооронд үүсгэсэн холбоосыг тодорхойлно.

pid — Процессын таниулагч (ID).
process_path — Процессын зам.
consumer_name — WMI үйл явдлын consumer-ийн нэр.
filter — WMI үйл явдлын filter-ийн нэр.
is_local — Үйл ажиллагаа локал эсэхийг заана.

- true - Локал
- false - Локал биш

cause — Холбоос үүссэн шалтгаан.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "cause": "Binding EventFilter: \ninstance of __EventFilter\n{\n\tCreatorSID = {1, 5, 0, 0, 0, 0, 0, 5, 21, 0, 0, 0, 59, 2, 182, 21, 150, 33, 13, 243, 172, 3, 194, 61, 233, 3, 0, 0};\n\tEventNamespace = \"root\\\\cimv2\";\n\tName = \"TestFilter302212\";\n\tQuery = \"SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'\";\n\tQueryLanguage = \"WQL\";\n};\nPerm. Consumer: \ninstance of CommandLineEventConsumer\n{\n\tCommandLineTemplate = \"C:\\\\Windows\\\\System32\\\\notepad.exe\";\n\tCreatorSID = {1, 5, 0, 0, 0, 0, 0, 5, 21, 0, 0, 0, 59, 2, 182, 21, 150, 33, 13, 243, 172, 3, 194, 61, 233, 3, 0, 0};\n\tExecutablePath = \"C:\\\\Windows\\\\System32\\\\notepad.exe\";\n\tName = \"TestConsumer9c3b0c\";\n};\n",
    "filter": "",
    "ctc_version": "0.0.0.10",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "is_local": true,
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "wmi_new_binding",
    "pid": 0,
    "process_path": "<system>",
    "datetime": 1779360170948,
    "mitre_ids": [
        {
            "name": "Windows Management Instrumentation",
            "id": "T1047",
            "categories": [
                "Execution"
            ]
        }
    ],
    "os_version": "Windows 11",
    "consumer_name": "CommandLineEventConsumer=\"TestConsumer9c3b0c\"",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.