Syslog үйл явдлын мессежүүд — 8-р хэсэг: New Incident, Security Container, Integration out of sync, Antitampering

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.12

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

New Incident

Control Center-ийн Incidents хэсэгт Root Cause Analysis (RCA — шалтгааныг тодорхойлох шинжилгээ) шинээр харагдах бүрт энэ үйл явдал үүснэ. Үйл явдал нь RCA JSON-оос гаргаж авсан холбогдох зүйлсийн жагсаалтыг агуулах бөгөөд та үүгээр SIEM дээр суурилсан корреляцийг EDR-ийн өгөгдлөөр баяжуулж болно.

Нэр	Төрөл	Заавал	Тайлбар
module	String	тийм	Үйл явдлын төрлийн ялгагч. Утга: new-incident
computer_name	String	тийм	Компьютерийн нэр
computer_fqdn	String	тийм	Төгсгөлийн төхөөрөмжийн FQDN (бүрэн домэйн нэр)
computer_ip	String	тийм	IP хаяг
computer_id	String	тийм	GravityZone-ийн өгөгдлийн сан дахь төгсгөлийн төхөөрөмжийн өвөрмөц танигч
incident_id	String	тийм	Инцидентийн танигч
severity_score	Integer	тийм	Инцидентийн ноцтой байдлыг тодорхойлох 0-ээс 100 хүртэлх бүхэл тоо
attack_entry	Integer	тийм	Халдлага эхэлсэн node-ийн UID
main_action	String	тийм	Инцидентийн талаар бүтээгдэхүүний авсан үйлдэл
detection_name	String	үгүй	Илрүүлэлтийн нэр
file_name	String	үгүй	Хортой файлын нэр
file_path	String	үгүй	Хортой файлын зам
file_hash_md5	String	үгүй	Хортой файлын MD5 хэш
file_hash_sha256	String	үгүй	Хортой файлын sha256 хэш
url	String	үгүй	Домэйн URL
protocol	String	үгүй	Програмын протокол
process_pid	Integer	үгүй	Процессын pid
process_path	String	үгүй	Процессын зам
parent_process_pid	Integer	үгүй	Эх процессын PID
parent_process_path	String	үгүй	Эх процессын зам
attack_types	Array	үгүй	Инцидентэд холбогдсон халдлагын төрлүүд
att_ck_id	Array	үгүй	Инцидентэд холбогдсон Mitre халдлагын танигчууд
process_command_line	String	үгүй	Процессын командын мөр
severity	String	тийм	Үүссэн үйл явдлын ноцтой байдал
created	Timestamp	тийм	Үйл явдлын цагийн тэмдэг
company_name	String	тийм	Үйл явдал үүссэн төхөөрөмжийн харьяалагдах компанийн нэр
user_name	String	тийм	Үйл явдал үүсэх үед ашиглагдаж байсан хэрэглэгчийн нэр
username	String	үгүй	Инцидент илэрсэн үед нэвтэрсэн байсан хэрэглэгч
user_sid	String	үгүй	Үйл явдлын эх үүсвэрт оролцсон хэрэглэгчийн SID

{
  "name": "New Incident",
  "created": "2022-05-12T09:34:03.690Z",
  "company_name": "root",
  "user_name": "root",
  "module": "new-incident",
  "computer_id": "6256a431cb46d1222c00c5a6",
  "computer_fqdn": "Pi14159-automation-win64",
  "computer_name": "Pi14159-automation-win64",
  "detection_name": "Gen:Trojan.Heur.LShot.1",
  "attack_types": ["Malware"],
  "computer_ip": "31.14.159.265",
  "severity_score": 65,
  "incident_id": "627cd48c12eb1f08b5d42dbe",
  "attack_entry": 1926087460,
  "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell_ise.exe",
  "file_path": "c:\\users\\bdvm\\desktop\\script.ps1",
  "file_name": "script.ps1",
  "att_ck_id": [],
  "severity": "medium",
  "main_action": "no action"
}

Security Container Status Update

Таны сүлжээнд суулгасан Security Container-ийн бүтээгдэхүүний шинэчлэлтийн төлөв өөрчлөгдөхөд энэ мэдэгдэл ирнэ.

Нэр	Төрөл	Заавал	Тайлбар
created	Timestamp	тийм	Үйл явдлын цагийн тэмдэг
securityContainers	String	тийм	Хуучирсан security container-уудын жагсаалт
name	String	тийм	Үйл явдлын нэр

{
  "name": "Security Container Status Update",
  "created": "2022-04-18T11:12:14+03:00",
  "company_name": "root",
  "user_name": "root",
  "module": "security-container-update-status",
  "securityContainers": [{
    "securityContainerName": "security-container-x",
    "hostName": "TEST_ENDPOINT"
  }]
}

Integration out of sync

Интеграцитай зорилтот систем рүү мессеж хүргэж чадаагүй бүрт энэ мэдэгдэл үүснэ.

Нэр	Төрөл	Заавал	Тайлбар
name	String	тийм	AD hostname-ийн өвөрмөц нэр эсвэл интеграцийн нэр
created	Timestamp	тийм	Үйл явдлын цагийн тэмдэг
company_name	String	тийм	Интеграци үүсгэсэн компанийн нэр
user_name	String	тийм	Мэдэгдэл хүлээн авч буй хэрэглэгчийн нэр
integration_id	String	тийм	Асуудал гарсан интеграцийн ID
integration_type	String	тийм	Асуудал гарсан интеграцийн төрөл. Боломжит утга: 260 - AD интеграци
sync_status	String	тийм	Асуудал гарсан интеграцийн синхрончлолын төлөв. Боломжит утга: 2 - SYNC_STATUS_NOT_SYNCHRONIZED; 10 - SYNC_STATUS_UNKNOWN_ERROR; 11 - SYNC_STATUS_INVALID_CREDENTIALS; 12 - SYNC_STATUS_SERVER_DOWN; 13 - SYNC_STATUS_NO_ORGANIZATIONAL_UNITS

{
  "name": "10.17.**.**",
  "created": "2024-09-10T14:15:12+00:00",
  "company_name": "IRU-**",
  "user_name": "root",
  "integration_id": "66e053a18f3e4a6188042807",
  "integration_type": 260,
  "sync_status": 11
}

Antitampering

Бүтээгдэхүүний бүрэн бүтэн байдалд заналхийлэл илрэхэд (жишээлбэл, хамгаалалтын агентийн эсрэг ашиглагдаж болох эмзэг драйвер байгаа нь тогтоогдох, эсвэл хамгаалалтын чухал механизмууд идэвхгүй болгогдсон callback evasion зэрэг халдлагын дараах үйлдэл) энэ мэдэгдэл ирнэ.

Callback Evasion

Нэр	Төрөл	Заавал	Тайлбар
module	string	тийм	Үйл явдлын төрлийн ялгагч. Утга: antitampering
product_installed	string	тийм	Суулгасан бүрэлдэхүүн хэсгийн танигч
computer_name	string	тийм	Компьютерийн нэр
computer_fqdn	string	тийм	FQDN (бүрэн домэйн нэр)
computer_ip	string	тийм	IP хаяг
computer_id	string	тийм	GravityZone-ийн өгөгдлийн сан дахь төгсгөлийн төхөөрөмжийн өвөрмөц танигч
endpointId	string	тийм	Төгсгөлийн төхөөрөмжийн дотоод танигч. GravityZone өөрөө болон дурын API арга дотор ямар нэг функциональ үүрэг, хэрэглээгүй.
driverName	string	тийм	Илрүүлэлтэд холбогдсон драйверын нэр
detection_technique	string	тийм	Илрүүлэлт хийхэд ашигласан арга
detection_action	string	үгүй	Илрүүлэлтийн дараа авсан үйлдэл
detection_username	string	тийм	Илрүүлэлтэд оролцсон хэрэглэгч
detection_userSid	string	тийм	Илрүүлэлтэд оролцсон хэрэглэгчийн SID
detection_time	string	тийм	Илрүүлэлт хийгдсэн огноо, цагийн тэмдэг

{
  "module": "antitampering",
  "product_installed": "BEST",
  "computer_name": "endpointSecurityAudit",
  "computer_fqdn": "fake-computer-fqdn.ro",
  "computer_ip": "192.168.1.1",
  "computer_id": "67ffa239bee67f46b5dbe9df",
  "endpointId": "67ffa239bee67f46b5dbe9dd",
  "driverName": "atc",
  "detection_technique": "Callback Evasion",
  "detection_action": "reportOnly",
  "detection_username": "userSecurityAudit",
  "detection_userSid": "S-1-5-18",
  "detection_time": "2025-04-16T12:27:38.000Z"
}

Vulnerable drivers

Нэр	Төрөл	Заавал	Тайлбар
module	string	тийм	Үйл явдлын төрлийн ялгагч. Утга: antitampering
product_installed	string	тийм	Суулгасан бүрэлдэхүүн хэсгийн танигч
computer_name	string	тийм	Компьютерийн нэр
computer_fqdn	string	тийм	FQDN (бүрэн домэйн нэр)
computer_ip	string	тийм	IP хаяг
computer_id	string	тийм	GravityZone-ийн өгөгдлийн сан дахь төгсгөлийн төхөөрөмжийн өвөрмөц танигч
endpointId	string	тийм	Төгсгөлийн төхөөрөмжийн дотоод танигч. GravityZone өөрөө болон дурын API арга дотор ямар нэг функциональ үүрэг, хэрэглээгүй.
driverPath	string	тийм	Үйл явдалд холбогдсон драйверын зам
detection_technique	string	тийм	Илрүүлэлт хийхэд ашигласан арга
detection_action	string	үгүй	Илрүүлэлтийн дараа авсан үйлдэл
detection_pid	string	тийм	Үйл явдалд холбогдсон процессын ID
detection_path	string	тийм	Илрүүлэлтэд холбогдсон процессын зам
detection_parentPid	string	тийм	Үйл явдалд холбогдсон эх процессын ID
detection_parentPath	string	үгүй	Үйл явдалд холбогдсон эх процессын ID (эх хуудсанд ингэж бичигдсэн)
detection_commandLine	string	тийм	Үйл явдалд холбогдсон процессыг эхлүүлэхэд ашигласан командын мөрийн аргументууд
detection_username	string	тийм	Илрүүлэлтэд оролцсон хэрэглэгч
detection_userSid	string	тийм	Илрүүлэлтэд оролцсон хэрэглэгчийн SID
detection_time	string	тийм	Илрүүлэлт хийгдсэн огноо, цагийн тэмдэг

{
  "module": "antitampering",
  "product_installed": "BEST",
  "computer_name": "endpointSecurityAudit",
  "computer_fqdn": "fake-computer-fqdn.ro",
  "computer_ip": "192.168.1.1",
  "computer_id": "67ffa239bee67f46b5dbe9df",
  "endpointId": "67ffa239bee67f46b5dbe9dd",
  "driverPath": "deny/userSecurityAudit",
  "detection_technique": "Vulnerable Drivers",
  "detection_action": "deny",
  "detection_pid": "1123",
  "detection_path": "deny/userSecurityAudit",
  "detection_parentPid": "2222",
  "detection_parentPath": "/process/parent/path/displayed",
  "detection_commandLine": "",
  "detection_username": "userSecurityAudit",
  "detection_userSid": "S-1-2-3-4",
  "detection_time": "2025-04-16T12:28:40.000Z"
}

Энэ хуудсанд гарсан нэр томъёо

Control Center: GravityZone-ийн удирдлагын вэб консол
Incidents: Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.