SIEM Security Telemetry үйл явдлууд — 5-р хэсэг: Registry
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
← SIEM рүү илгээгдэх Security Telemetry үйл явдлууд
Registry (Windows бүртгэл)
Энэ ангиллын үйл явдлууд зөвхөн Windows үйлдлийн системд боломжтой.
Create key (Түлхүүр үүсгэх)
Шинээр үүссэн registry түлхүүрүүдийг тодорхойлно.
| Field name | Description |
|---|---|
| company_id | GravityZone дахь компанийн ID. |
| ctc_version | CTC аюулгүй байдлын гарын үсгийн хувилбар. |
| datetime | Огноо, цаг (Unix epoch цагийн форматаар). |
| event_name | Үйл явдлын нэр. |
| event_version | Үйл явдлын хувилбар. |
| hardware_id | BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID. |
| key_path | Registry түлхүүрийн зам. |
| machine_name | Endpoint-ийн хост нэр. |
| operation | Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд: create, write, delete |
| os_family | Үйлдлийн системийн гэр бүл. Боломжит утга: windows |
| os_platform | Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64. |
| os_type | Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана. |
| os_version | Үйлдлийн системийн хувилбар. Жишээ: Windows 11. |
| pid | Процессын таниулагч (ID). |
| product_version | BEST бүтээгдэхүүний хувилбар. |
| user_name | Registry түлхүүрийг үүсгэсэн процессыг эхлүүлсэн хэрэглэгч. |
[
{
"ctc_version": "2.13.4.3",
"key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_keyaecf3fbc-038b-4cf6-a819-fffbf0080c54",
"machine_name": "1022H2X64-N74",
"event_version": 1,
"event_name": "reg_create_key",
"pid": 9476,
"user_name": "",
"operation": "create",
"datetime": 1715024773966,
"os_version": "Windows 10",
"company_id": "5b9bc2701da197f07a8b4567",
"hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
"os_family": "windows",
"os_platform": "x64",
"os_type": "client",
"product_version": "7.9.11.406"
}
]Delete key (Түлхүүр устгах)
Устгагдсан registry түлхүүрүүдийг тодорхойлно.
| Field name | Description |
|---|---|
| company_id | GravityZone дахь компанийн ID. |
| datetime | Огноо, цаг (Unix epoch цагийн форматаар). |
| event_name | Үйл явдлын нэр. |
| event_version | Үйл явдлын хувилбар. |
| hardware_id | BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID. |
| key_path | Registry түлхүүрийн зам. |
| machine_name | Endpoint-ийн хост нэр. |
| operation | Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд: create, write, delete |
| os_family | Үйлдлийн системийн гэр бүл. Боломжит утга: windows. |
| os_platform | Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64. |
| os_type | Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана. |
| os_version | Үйлдлийн системийн хувилбар. Жишээ: Windows 11. |
| pid | Процессын таниулагч (ID). |
| product_version | BEST бүтээгдэхүүний хувилбар. |
| user_name | Registry түлхүүрийг устгасан процессыг эхлүүлсэн хэрэглэгч. |
[
{
"ctc_version": "2.13.4.3",
"key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_keyaecf3fbc-038b-4cf6-a819-fffbf0080c54",
"machine_name": "1022H2X64-N74",
"event_version": 1,
"event_name": "reg_delete_key",
"pid": 3456,
"user_name": "",
"operation": "delete",
"datetime": 1715024776201,
"os_version": "Windows 10",
"company_id": "5b9bc2701da197f07a8b4567",
"hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
"os_family": "windows",
"os_platform": "x64",
"os_type": "client",
"product_version": "7.9.11.406"
}
]Delete value (Утга устгах)
Одоо байгаа түлхүүрээс устгагдсан registry утгуудыг тодорхойлно.
| Field name | Description |
|---|---|
| company_id | GravityZone дахь компанийн ID. |
| ctc_version | CTC аюулгүй байдлын гарын үсгийн хувилбар. |
| datetime | Огноо, цаг (Unix epoch цагийн форматаар). |
| event_name | Үйл явдлын нэр. |
| event_version | Үйл явдлын хувилбар. |
| hardware_id | BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID. |
| key_path | Registry түлхүүрийн зам. |
| machine_name | Хост нэр. |
| operation | Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд: create, write, delete |
| os_family | Үйлдлийн системийн гэр бүл. Боломжит утга: windows. |
| os_platform | Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64. |
| os_type | Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана. |
| os_version | Үйлдлийн системийн хувилбар. Жишээ: Windows 11. |
| pid | Процессын таниулагч (ID). |
| product_version | BEST бүтээгдэхүүний хувилбар. |
| user_name | Registry утгыг устгасан процессыг эхлүүлсэн хэрэглэгч. |
| value | Registry утга. |
[
{
"ctc_version": "2.13.4.3",
"key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_key_c0fcd233-788d-4449-983f-e6e1de1026ce",
"machine_name": "1022H2X64-N74",
"event_version": 1,
"event_name": "reg_delete_value",
"pid": 9996,
"value": "4ce93d69-8da7-48de-b967-3bc4011302aa",
"user_name": "",
"operation": "delete",
"datetime": 1715024962726,
"os_version": "Windows 10",
"company_id": "5b9bc2701da197f07a8b4567",
"hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
"os_family": "windows",
"os_platform": "x64",
"os_type": "client",
"product_version": "7.9.11.406"
}
]Modify value (Утга өөрчлөх)
Registry утгуудад хийсэн өөрчлөлтийг тодорхойлно.
| Field name | Description |
|---|---|
| company_id | GravityZone дахь компанийн ID. |
| ctc_version | CTC аюулгүй байдлын гарын үсгийн хувилбар. |
| data | Утга руу бичигдсэн өгөгдөл. |
| data_type | Registry өгөгдлийн төрөлтэй холбоотой ID. Боломжит утгууд: 0 - none; 1 - string; 2 - expandablestring; 3 - binary; 4 - dword; 5 - dwordbigendian; 6 - link; 7 - multistring; 8 - resourcelist; 9 - resourcedescriptor; 10 - resourcerequirements; 11 - qword (өгөгдлийн төрөл). |
| data_type_sz | Registry утгын өгөгдлийн формат. Боломжит утгууд: none, string, expandablestring, binary, dword, dwordbigendian, link, multistring, resourcelist, resourcedescriptor, resourcerequirements, qword. Эдгээр өгөгдлийн форматын талаар дэлгэрэнгүйг Microsoft-ийн Registry value types баримтаас үзнэ үү. |
| datetime | Огноо, цаг (Unix epoch цагийн форматаар). |
| event_name | Үйл явдлын нэр. |
| event_version | Үйл явдлын хувилбар. |
| hardware_id | BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID. |
| key_path | Registry түлхүүрийн зам. |
| machine_name | Endpoint-ийн хост нэр. |
| operation | Registry түлхүүр дээр хийсэн үйлдлийн төрөл. Боломжит утгууд: create, write, delete |
| os_family | Үйлдлийн системийн гэр бүл. Боломжит утга: windows. |
| os_platform | Үйлдлийн системийн архитектур. Боломжит утгууд: x86, x64, arm64. |
| os_type | Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана. |
| os_version | Үйлдлийн системийн хувилбар. Жишээ: Windows 11. |
| pid | Процессын таниулагч (ID). |
| product_version | BEST бүтээгдэхүүний хувилбар. |
| user_name | Registry утгыг өөрчилсөн процессыг эхлүүлсэн хэрэглэгч. |
| value | Registry утга. |
[
{
"ctc_version": "2.13.4.3",
"key_path": "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\test_key_c0fcd233-788d-4449-983f-e6e1de1026ce",
"data_type_sz": "dword",
"machine_name": "1022H2X64-N74",
"event_version": 1,
"event_name": "reg_modify_value",
"pid": 2320,
"value": "4ce93d69-8da7-48de-b967-3bc4011302aa",
"user_name": "",
"operation": "create",
"data": "1",
"datetime": 1715024938841,
"data_type": 4,
"os_version": "Windows 10",
"company_id": "5b9bc2701da197f07a8b4567",
"hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
"os_family": "windows",
"os_platform": "x64",
"os_type": "client",
"product_version": "7.9.11.406"
}
]Энэ хуудсанд гарсан нэр томъёо
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин