SIEM Security Telemetry үйл явдлууд — 2-р хэсэг: Process
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
← SIEM рүү илгээгдэх Security Telemetry үйл явдлууд
Process (Процесс)
Create (Үүсгэх)
Шинээр эхэлсэн процессуудыг тодорхойлж, endpoint дээрх программын ажиллагааг мөшгихөд тусална.
| Field name | Description |
|---|---|
| cmdline | Процессыг эхлүүлсэн командын мөр. |
| company_id | GravityZone дахь компанийн ID. |
| ctc_version | CTC аюулгүй байдлын гарын үсгийн (signatures) хувилбар. |
| datetime | Огноо, цаг (Unix epoch цагийн форматаар). |
| elevation | Процессын эрхийн түвшинтэй (elevation level) холбоотой тоон ID. |
| elevation_sz | Процесс өндөр эрхтэйгээр ажилласан эсэхийг заана. Боломжит утгууд: elevated, restricted |
| event_name | Үйл явдлын нэр. |
| event_version | Үйл явдлын хувилбар. |
| hardware_id | BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID. |
| integrity | Бүрэн бүтэн байдлын түвшинтэй (integrity level) холбоотой тоон ID. |
| integrity_sz | Процессын бүрэн бүтэн байдлын түвшин. Боломжит утгууд: untrusted, low, medium, high, system. Эдгээр утга нь Microsoft-ийн баримтад тайлбарласан заавал мөрдөх бүрэн бүтэн байдлын түвшинтэй (mandatory integrity levels) тэнцэнэ. |
| machine_name | Endpoint-ийн хост нэр. |
| mitre_ids | Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна: name - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр), жишээ нь Command and Scripting Interpreter; id - Mitre техникийн ID, жишээ нь T1074; subtechniques - Mitre дэд техниктэй холбоотой мэдээлэл (name - дэд техникийн нэр; id - дэд техникийн ID, жишээ нь T1595.002); categories - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал. |
| os_family | Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos. |
| os_platform | Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64. |
| os_type | Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана. |
| os_version | Үйлдлийн системийн хувилбар. Жишээ: Windows 11. |
| parent_cmdline | Эх процессыг (parent process) эхлүүлсэн командын мөр. |
| parent_elevation | Эх процессын эрхийн түвшинтэй холбоотой тоон ID. |
| parent_elevation_sz | Эх процесс өндөр эрхтэйгээр ажилласан эсэхийг заана. Боломжит утгууд: elevated, restricted |
| parent_integrity | Эх процессын бүрэн бүтэн байдлын түвшинтэй холбоотой тоон ID. |
| parent_integrity_sz | Эх процессын бүрэн бүтэн байдлын түвшин. Боломжит утгууд: untrusted, low, medium, high, system. Эдгээр утга нь Microsoft-ийн баримтад тайлбарласан заавал мөрдөх бүрэн бүтэн байдлын түвшинтэй тэнцэнэ. |
| parent_pid | Эх процессын таниулагч (ID). |
| parent_process_path | Эх процессын зам. |
| parent_user_name | Эх процессод бүртгэгдсэн хэрэглэгчийн нэр. |
| pid | Процессын таниулагч (ID). |
| process_md5 | Процессын MD5 хэш. |
| process_path | Процессын зам. |
| process_sha | Процессын SHA256 хэш. |
| product_version | BEST бүтээгдэхүүний хувилбар. |
| user_name | Процессыг эхлүүлсэн хэрэглэгч. |
| user_sid | Процессыг эхлүүлсэн хэрэглэгчийн бүртгэлтэй холбоотой ID. |
[
{
"parent_user_name": "1022H2X64-N74\\testadmin",
"integrity_sz": "high",
"integrity": 12288,
"ctc_version": "2.13.4.3",
"parent_integrity": 12288,
"parent_elevation": 1,
"process_sha": "81de431987304676134138705fc1c21188ad7f27edf6b77a6551aa693194485e",
"user_sid": "S-1-5-21-2405739389-2309292873-14435642-1001",
"machine_name": "1022H2X64-N74",
"event_version": 1,
"parent_process_path": "c:\\python36\\pythonw.exe",
"parent_cmdline": "C:\\framework\\main.py frk",
"cmdline": "\"C:\\putty9ebd95c0-5eb4-49b6-82ee-e7c7a879a373.exe\"",
"event_name": "process_create",
"pid": 7912,
"process_md5": "b6c12d88eeb910784d75a5e4df954001",
"elevation_sz": "elevated",
"elevation": 1,
"parent_elevation_sz": "elevated",
"user_name": "1022H2X64-N74\\testadmin",
"parent_integrity_sz": "high",
"process_path": "c:\\putty9ebd95c0-5eb4-49b6-82ee-e7c7a879a373.exe",
"datetime": 1715023630446,
"mitre_ids": [],
"os_version": "Windows 10",
"parent_pid": 2932,
"company_id": "5b9bc2701da197f07a8b4567",
"hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
"os_family": "windows",
"os_platform": "x64",
"os_type": "client",
"product_version": "7.9.11.406"
}
]Terminate (Дуусгах)
Дуусч эсвэл хүчээр зогсоогдсон процессуудыг тодорхойлно.
| Field name | Description |
|---|---|
| company_id | GravityZone дахь компанийн ID. |
| ctc_version | CTC аюулгүй байдлын гарын үсгийн хувилбар. |
| datetime | Огноо, цаг (Unix epoch цагийн форматаар). |
| event_name | Үйл явдлын нэр. |
| event_version | Үйл явдлын хувилбар. |
| hardware_id | BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID. |
| machine_name | Endpoint-ийн хост нэр. |
| os_family | Үйлдлийн системийн гэр бүл. Боломжит утгууд: windows, linux, macos. |
| os_platform | Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64. |
| os_type | Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана. |
| os_version | Үйлдлийн системийн хувилбар. Жишээ: Windows 11. |
| pid | Процессын таниулагч (ID). |
| product_version | BEST бүтээгдэхүүний хувилбар. |
[
{
"ctc_version": "2.13.4.3",
"machine_name": "1022H2X64-N74",
"event_version": 1,
"event_name": "terminate_process",
"pid": 7912,
"datetime": 1715023652647,
"os_version": "Windows 10",
"company_id": "5b9bc2701da197f07a8b4567",
"hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
"os_family": "windows",
"os_platform": "x64",
"os_type": "client",
"product_version": "7.9.11.406"
}
]Энэ хуудсанд гарсан нэр томъёо
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин