SIEM Security Telemetry үйл явдлууд — 4-р хэсэг: File (Modify, Read)

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.12

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

← SIEM рүү илгээгдэх Security Telemetry үйл явдлууд

File (Файл)

Modify (Өөрчлөх)

Файлын агуулга эсвэл шинж чанарт хийсэн өөрчлөлтийг тодорхойлж, зөвшөөрөлгүй өөрчлөлтийг (tampering) судлахад тусална.

Field name	Description
bytes_written	Бичигдсэн эхний байтуудын буфер (64K хүртэл).
company_id	GravityZone дахь компанийн ID.
ctc_version	CTC аюулгүй байдлын гарын үсгийн хувилбар.
datetime	Огноо, цаг (Unix epoch цагийн форматаар).
entropy	Файлын entropy утга.
event_name	Үйл явдлын нэр.
event_version	Үйл явдлын хувилбар.
extra_keys	Үүсгэгдсэн incident-д харуулах нэмэлт мэдээллийн түлхүүрүүд.
extra_values	extra_keys талбарт харгалзах утгууд.
hardware_id	BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
is_remote	Файлд хийсэн өөрчлөлт алсын холболтоор хийгдсэн эсэхийг заана.
machine_name	Endpoint-ийн хост нэр.
md5	Файлын MD5 хэш.
os_family	Үйлдлийн системийн гэр бүл. Боломжит утгууд: `windows`, `linux`, `macos`.
os_platform	Үйлдлийн системийн архитектур. Боломжит утгууд: `x86`, `x64`, `arm64`.
os_type	Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version	Үйлдлийн системийн хувилбар. Жишээ: `Windows 11`.
path	Файлын зам.
pid	Процессын таниулагч (ID).
process_sha	Файлыг үүсгэсэн процессын SHA256 хэш.
process_md5	Файлыг үүсгэсэн процессын MD5 хэш.
process_path	Процессын зам.
product_version	BEST бүтээгдэхүүний хувилбар.
sha	Файлын SHA256 хэш.
type	Файлын төрөлтэй холбоотой ID. Боломжит утгууд: `0` - executable файлын төрөл; `1` - document файлын төрөл; `2` - archive файлын төрөл; `3` - script файлын төрөл; `4` - media файлын төрөл; `5` - possibleimportantformat файлын төрөл; `999` - unknown (үл мэдэгдэх) файлын төрөл.
type_sz	Файлын төрөл. Боломжит утгууд: `executable`, `document`, `archive`, `script`, `media`, `possibleimportantformat`, `unknown`. `possibleimportantformat` нь ерөнхий нэр томьёо бөгөөд өгөгдөл дамжуулан гарч болзошгүй (data exfiltration) учраас аюулгүй байдлын дараагийн шинжилгээнд чухал байж болох файлуудын бүртгэлийг хөтөлнө. Хамрах файлын өргөтгөлүүд: .3dm, .3ds, .3g2, .3gp, .7z, .aac, .accdb, .ai, .aif, .asd, .asf, .avi, .bmp, .bz2, .cbr, .cda, .csv, .db, .dbf, .dds, .doc, .docx, .dwg, .dxf, .email, .eml, .emlx, .eps, .fdb, .flac, .flv, .frm, .gif, .gpx, .gslides", .gz, .h264, .heic, .ico, .iff, .jpg, .kexi, .key, .kml, .kmz, .log, .lz, .m3u, .m4a, .m4v, .max, .md, .mdb, .mde, .mdf, .mid, .midi, .mkv, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .msg, .obj, .odp, .ods, .odt, .oft, .ogg, .opus, .ost, .pdb, .pdf, .pez, .png, .pot, .pps, .ppt, .pptx, .psd, .pspimage, .pst, .rar, .rm, .rtf, .sqlite, .srt, .svg, .swf, .tar, .tar.gz, .tar.xz, .tex, .tga, .thm, .tif, .tiff, .vcf, .vob, .wav, .wdb, .wma, .wmv, .wpd, .wps, .xlr, .xls, .xls, .xlsm, .xlsx, .xz, .yuv, .zip, .zipx
user_name	Файлыг өөрчилсөн процессыг эхлүүлсэн хэрэглэгч.

{
        "bytes_written": 0,
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "extra_keys": [],
        "type_sz": "Unknown",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "entropy": 0,
        "event_name": "file_modify",
        "pid": 7580,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "md5": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "is_remote": 0,
        "datetime": 1715024067932,
        "path": "c:\\programdata\\modify2f808a64-a09d-49ff-885c-efd4cdc264bc.txt",
        "extra_values": [],
        "os_version": "Windows 10",
        "sha": "",
        "type": 999,
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

Read (Унших)

Файлын агуулгад хандсан үйлдлийг тодорхойлж, нууц эсвэл сэжигтэй файлд хандсан эсэхийг судлахад тусална.

Field name	Description
bytes_read	Файлаас уншсан байтын тоо.
company_id	GravityZone дахь компанийн ID.
ctc_version	CTC аюулгүй байдлын гарын үсгийн хувилбар.
datetime	Огноо, цаг (Unix epoch цагийн форматаар).
entropy	Файлын entropy утга.
event_name	Үйл явдлын нэр.
event_version	Үйл явдлын хувилбар.
extra_keys	Үүсгэгдсэн incident-д харуулах нэмэлт мэдээллийн түлхүүрүүд.
extra_values	extra_keys талбарт харгалзах утгууд.
hardware_id	BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
is_remote	Файлыг алсын холболтоор уншсан эсэхийг заана.
machine_name	Endpoint-ийн хост нэр.
os_family	Үйлдлийн системийн гэр бүл. Боломжит утгууд: `windows`, `linux`, `macos`.
os_platform	Үйлдлийн системийн архитектур. Боломжит утгууд: `x86`, `x64`, `arm64`.
os_type	Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version	Үйлдлийн системийн хувилбар. Жишээ: `Windows 11`.
path	Файлын зам.
pid	Процессын таниулагч (ID).
process_md5	Процессын MD5 хэш.
process_path	Процессын зам.
process_sha	Процессын SHA256 хэш.
product_version	BEST бүтээгдэхүүний хувилбар.
type	Файлын төрөлтэй холбоотой ID. Боломжит утгууд: `0` - executable файлын төрөл; `1` - document файлын төрөл; `2` - archive файлын төрөл; `3` - script файлын төрөл; `4` - media файлын төрөл; `5` - possibleimportantformat файлын төрөл; `999` - unknown (үл мэдэгдэх) файлын төрөл.
type_sz	Файлын төрөл. Боломжит утгууд: `executable`, `document`, `archive`, `script`, `media`, `possibleimportantformat`, `unknown`. `possibleimportantformat` нь ерөнхий нэр томьёо бөгөөд өгөгдөл дамжуулан гарч болзошгүй (data exfiltration) учраас аюулгүй байдлын дараагийн шинжилгээнд чухал байж болох файлуудын бүртгэлийг хөтөлнө. Хамрах файлын өргөтгөлүүд нь Modify үйл явдлын `type_sz` талбарт жагссантай адил.
user_name	Файлаас уншсан процессыг эхлүүлсэн хэрэглэгч.

[
    {
        "ctc_version": "2.13.4.3",
        "process_sha": "9785001b0dcf755eddb8af294a373c0b87b2498660f724e76c4d53f9c217c7a3",
        "extra_keys": [],
        "type_sz": "Unknown",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "entropy": 0,
        "event_name": "file_read",
        "pid": 8756,
        "process_md5": "2e5a8590cf6848968fc23de3fa1e25f1",
        "user_name": "",
        "process_path": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
        "is_remote": 0,
        "datetime": 1715024308353,
        "path": "c:\\programdata\\readfileaf8f7981-30ed-4661-8ced-a34ad484c872.txt",
        "bytes_read": 4096,
        "extra_values": [],
        "os_version": "Windows 10",
        "type": 999,
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }
]

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Incidents: Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.