SIEM Security Telemetry үйл явдлууд: Device and driver · BEST agent · Audit policy

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Device and driver (Төхөөрөмж ба драйвер)

Энэ ангиллын үйл явдлууд зөвхөн Windows үйлдлийн системд боломжтой.

Driver module load (Драйвер модуль ачаалах)

Шинээр ачаалагдсан драйвер модулиудыг тодорхойлж, kernel түвшний үйл ажиллагааг харах боломж олгоно.

module_path — Ачаалагдсан драйвер модулийн зам.
is_signed — Ачаалагдсан драйвер модуль гарын үсэгтэй (signed) эсэхийг заана. Боломжит утгууд:

- true - Драйвер модуль гарын үсэгтэй.
- false - Драйвер модуль гарын үсэггүй.

code_integrity_options — Code integrity сонголтын flag.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

- name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: Command and Scripting Interpreter.
- id - Mitre техникийн ID (албан ёсны вэб сайтад бичигдсэнээр). Жишээ: T1074.
- subtechniques - Mitre дэд техниктэй холбоотой дараах мэдээллийг агуулна:
- name - Mitre дэд техникийн нэр
- id - Mitre дэд техникийн ID. Жишээ: T1595.002.
- categories - дараах мэдээллийг агуулна:
- categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "module_path": "c:\\windows\\system32\\drivers\\null.sys",
    "event_name": "driver_load_module",
    "is_signed": false,
    "datetime": 1779359780468,
    "mitre_ids": [],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666",
    "code_integrity_options": 0
}

Hardware mount (Төхөөрөмж холбох)

Техник хангамжийн төхөөрөмж эсвэл хадгалалтын volume mount хийгдэж, үйлдлийн системд ашиглах боломжтой болсныг тодорхойлно.

name — Техник хангамжийн төхөөрөмжийн нэр.
status — Төхөөрөмж mount хийх үйлдлийн төлөв. Энэ талбар одоогоор ашиглагдаагүй.
file_system — Файлын системийн төрөл.
hardware_type — Техник хангамжийн төрөл.
mount_point_path — Төхөөрөмжийн mount цэгийн зам. Жишээ нь, зөөврийн диск.
subject_logon_id — Үйлдэлтэй холбоотой хэрэглэгчийн logon таниулагч (ID).
mounted_file_path — Mount хийгдсэн файлын зам.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

media_type — Төхөөрөмжийн мэдээлэл тээгчийн (media) төрөл.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "mount_point_path": "\\\\??\\volume{52a4d04f-0c25-11f1-a619-806e6f6e6963}",
    "file_system": "OTHER",
    "mounted_file_path": "",
    "ctc_version": "0.0.0.10",
    "name": "\\Device\\CdRom0",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "status": 0,
    "mdr_ep": -1,
    "event_name": "hardware_mount",
    "datetime": 1779360019993,
    "mitre_ids": [],
    "subject_logon_id": 0,
    "media_type": "OTHER",
    "hardware_type": "CDROM",
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Hardware unmount (Төхөөрөмж салгах)

Техник хангамжийн төхөөрөмж эсвэл хадгалалтын volume салгагдаж, үйлдлийн системд ашиглах боломжгүй болсныг тодорхойлно.

name — Техник хангамжийн төхөөрөмжийн нэр.
mount_point_path — Төхөөрөмжийн mount цэгийн зам. Жишээ нь, зөөврийн диск.
file_system — Файлын системийн төрөл.
mounted_file_path — Mount хийгдсэн файлын зам.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
status — Төхөөрөмж mount хийх үйлдлийн төлөв. Энэ талбар одоогоор ашиглагдаагүй.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

subject_logon_id — Үйлдэлтэй холбоотой хэрэглэгчийн logon таниулагч (ID).
media_type — Төхөөрөмжийн мэдээлэл тээгчийн (media) төрөл.
hardware_type — Техник хангамжийн төрөл.
os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "mount_point_path": "",
    "file_system": "OTHER",
    "mounted_file_path": "",
    "ctc_version": "0.0.0.10",
    "name": "\\Device\\Harddisk0\\DR0",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "status": 0,
    "mdr_ep": -1,
    "event_name": "hardware_unmount",
    "datetime": 1779360999090,
    "mitre_ids": [],
    "subject_logon_id": 0,
    "media_type": "OTHER",
    "hardware_type": "DISPLAY",
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

BEST agent (BEST агент)

Agent uninstall request (Агент устгах хүсэлт)

Аюулгүй байдлын агентыг устгах хүсэлтийг тодорхойлж, зөвшөөрөгдсөн устгал эсвэл зөвшөөрөлгүй оролдлогыг шалгахад тусална. Энэ үйл явдал зөвхөн Windows үйлдлийн системд боломжтой.

pid — Устгах хүсэлттэй холбоотой процессын таниулагч (ID).
process_path — Устгах хүсэлттэй холбоотой процессын зам.
failure_reason — Устгах хүсэлтийн үр дүн. Боломжит утгууд:

- Success - Устгах хүсэлтийг хүлээн зөвшөөрсөн
- IncorrectPassword - Оруулсан устгах нууц үг буруу байна.
- UninstallCanceled - Устгах хүсэлт цуцлагдсан.
- AntiTampering - Устгах хүсэлтийг Anti-tampering модуль зогсоосон.
- Unknown - Устгах хүсэлт тодорхойгүй шалтгаанаар амжилтгүй болсон.

request_type — Устгах хүсэлтийн эх сурвалж. Боломжит утгууд:

- LocalUser - Устгах хүсэлтийг endpoint дээрх хэрэглэгч эхлүүлсэн.
- GravityZone - Устгах хүсэлтийг GravityZone консолоос эхлүүлсэн.
- System - Устгах хүсэлтийг систем эхлүүлсэн.
- Unknown - Устгах хүсэлтийн эх сурвалжийг тодорхойлж чадаагүй.

password_policy — Устгах хүсэлтэд хэрэглэсэн нууц үгийн шаардлага.
user_db_uid — Устгах хүсэлттэй холбоотой хэрэглэгчийг тодорхойлоход ашиглах таниулагч.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "failure_reason": "IncorrectPassword",
    "password_policy": "GravityZonePassword",
    "user_db_uid": 7,
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "agent_uninstall_request",
    "pid": 2060,
    "process_path": "c:\\windows\\system32\\cmd.exe",
    "request_type": "LocalUser",
    "datetime": 1779360999184,
    "mitre_ids": [],
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Audit policy (Аудитын бодлого)

Change Windows audit policy (Windows аудитын бодлого өөрчлөх)

Windows аудитын бодлогын өөрчлөлтийг тодорхойлно. Энэ үйл явдал зөвхөн Windows үйлдлийн системд боломжтой.

user_name — Аудитын бодлогын өөрчлөлттэй холбоотой хэрэглэгчийн бүртгэлийн нэр.
user_sid — Аудитын бодлогын өөрчлөлттэй холбоотой хэрэглэгчийн бүртгэлийн аюулгүй байдлын таниулагч (SID).
sub_category — Өөрчлөгдсөн аудитын бодлогын дэд ангиллын таниулагч.
subject_logon_id — Аудитын бодлогын өөрчлөлттэй холбоотой хэрэглэгчийн logon таниулагч (ID).
audit_policy_change_status — Аудитын бодлогын дэд ангилалд хийсэн өөрчлөлтүүд.
ctc_version — CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар.
machine_name — Endpoint-ийн хост нэр.
ring — BEST-ийн шинэчлэлтийн ring (шатлал).
event_version — Үйл явдлын хувилбар.
mdr_ep — Bitdefender-ийн хэрэгцээнд нөөцөлсөн талбар.
event_name — Үйл явдлын нэр.
datetime — Үйл явдлын огноо, цаг (Unix epoch цагийн форматаар).
mitre_ids — Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна:

os_version — Үйлдлийн системийн хувилбар. Жишээ: Windows 11.
company_id — GravityZone дахь компанийн ID.
hardware_id — BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
os_family — Үйлдлийн системийн гэр бүл. Боломжит утга: windows.
os_platform — Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64.
os_type — Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
product_version — BEST бүтээгдэхүүний хувилбар.

{
    "ctc_version": "0.0.0.10",
    "user_sid": "",
    "machine_name": "1125H2X64-N68",
    "ring": "sf",
    "sub_category": 0,
    "event_version": 1,
    "mdr_ep": -1,
    "event_name": "audit_policy_changed",
    "audit_policy_change_status": [
        1
    ],
    "user_name": "",
    "datetime": 1779360157175,
    "mitre_ids": [],
    "subject_logon_id": 0,
    "os_version": "Windows 11",
    "company_id": "60743cea7edaff46df5871af",
    "hardware_id": "407F0E42-287B-1B9F-75BA-296E6846D9B7-0050568E9866",
    "os_family": "windows",
    "os_platform": "x64",
    "os_type": "client",
    "product_version": "0.3.101.666"
}

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Policy: Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.