SIEM Security Telemetry үйл явдлууд — 6-р хэсэг: Network ба Account management and authentication

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.12

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

← SIEM рүү илгээгдэх Security Telemetry үйл явдлууд

Network (Сүлжээ)

Connection (Холболт)

Endpoint дээрх сүлжээний холболтуудыг тодорхойлж, гадаад болон дотоод харилцааг судлахад тусална.

Connection үйл явдал нь зорилтот endpoint-уудад Network Attack Defense модуль суулгасан, мөн хэрэглэгдэж буй policy-д идэвхжсэн байхыг шаарддаг.

Field name	Description
bytes_sent	Эх endpoint-ийн илгээсэн байтын тоо.
bytes_received	Зорилтот endpoint-ийн хүлээн авсан байтын тоо.
company_id	GravityZone дахь компанийн ID.
ctc_version	CTC аюулгүй байдлын гарын үсгийн хувилбар.
datetime	Огноо, цаг (Unix epoch цагийн форматаар).
direction	Сүлжээний холболт хаанаас эхэлснийг, өөрөөр хэлбэл орох (inbound) эсвэл гарах (outbound) эсэхийг заана.
event_name	Үйл явдлын нэр.
event_version	Үйл явдлын хувилбар.
hardware_id	BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
ip_dest	Зорилтот IP хаяг.
ip_source	Эх IP хаяг.
machine_name	Endpoint-ийн хост нэр.
operation	Хийгдсэн сүлжээний үйлдлийн төрлийг заана. Жишээ нь: connect, disconnect.
os_family	Үйлдлийн системийн гэр бүл. Боломжит утгууд: `windows`, `linux`, `macos`.
os_platform	Үйлдлийн системийн архитектур. Боломжит утгууд: `x86`, `x64`, `arm64`.
os_type	Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version	Үйлдлийн системийн хувилбар. Жишээ: `Windows 11`.
pid	Процессын таниулагч (ID).
port_dest	Зорилтот порт.
port_source	Эх порт.
process_path	Процессын зам.
product_version	BEST бүтээгдэхүүний хувилбар.

{
        "port_source": 54788,
        "port_dest": 8089,
        "bytes_sent": 0,
        "ctc_version": "2.13.4.3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "ip_dest": "10.17.130.193",
        "event_name": "network_connection",
        "pid": 2932,
        "direction": "outbound",
        "operation": "disconnect",
        "bytes_received": 0,
        "process_path": "c:\\python36\\pythonw.exe",
        "datetime": 1715023721139,
        "ip_source": "10.25.102.114",
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

DNS query (DNS хүсэлт)

Домэйн нэрийг шийдүүлэх (name resolution) хүсэлтүүдийг тодорхойлно.

DNS query үйл явдал нь зорилтот endpoint-уудад Network Attack Defense модуль суулгасан, мөн хэрэглэгдэж буй policy-д идэвхжсэн байхыг шаарддаг. DNS query үйл явдлыг идэвхжүүлснээр логийн хэмжээ мэдэгдэхүйц их болж, SIEM-тэй холбоотой зардал нэмэгдэж болзошгүй.

Field name	Description
event_name	Үйл явдлын нэр.
event_version	Үйл явдлын хувилбар.
datetime	Огноо, цаг (Unix epoch цагийн форматаар).
ctc_version	CTC аюулгүй байдлын гарын үсгийн хувилбар.
product_version	BEST бүтээгдэхүүний хувилбар.
process_name	DNS хүсэлтийг эхлүүлсэн процессын нэр.
process_path	DNS хүсэлтийг эхлүүлсэн процессын зам.
response_code	Resolver-ийн буцаасан DNS хариуны төлөвийн код. Хүсэлтийн үр дүнг заана.
response_count	Хүсэлт тавьсан домэйний DNS хариунд буцаасан resource record-ын тоо. Хариунд багтсан answer record-ын тоог илэрхийлнэ.
transport_protocol	DNS хүсэлтийг илгээхэд ашигласан транспорт давхаргын протокол.
pid	Endpoint дээр DNS хүсэлтийг эхлүүлсэн процессын таниулагч.
pid_timestamp	Процесс үүсгэгдсэн цаг.
ip_source	Эх IP хаяг.
query_type	Хүсэлтэд хүссэн DNS бичлэгийн төрөл. Жишээ нь: AAAA, MX, CNAME
domain	DNS хүсэлтэд хүссэн бүрэн нэр (Fully Qualified Domain Name, FQDN).
resolver_ip	Хүсэлт илгээсэн DNS серверийн (resolver) IP хаяг.
resolver_port	Хүсэлтийг дамжуулахад ашигласан DNS resolver дээрх зорилтот порт.
os_type	Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
direction	Сүлжээний холболт хаанаас эхэлснийг, өөрөөр хэлбэл орох (inbound) эсвэл гарах (outbound) эсэхийг заана.
os_platform	Үйлдлийн системийн архитектур. Боломжит утгууд: `x86`, `x64`, `arm64`.
mac_source	DNS хүсэлтийг эхлүүлсэн endpoint-ийн сүлжээний интерфэйсийн MAC хаяг.
mac_dest	Зорилтот сүлжээний төхөөрөмжийн MAC хаяг.
os_family	Үйлдлийн системийн гэр бүл. Боломжит утгууд: `windows`, `macos`.
hardware_id	BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
company_id	GravityZone дахь компанийн ID.
os_version	Үйлдлийн системийн хувилбар. Жишээ: `Windows 11`.
machine_name	Endpoint-ийн хост нэр.
mitre_ids	Mitre ATT&CK-ийн довтолгоо, техниктэй холбоотой дараах мэдээллийг агуулна: `name` - Mitre техникийн нэр (албан ёсны вэб сайтад бичигдсэнээр), жишээ нь `Command and Scripting Interpreter`; `id` - Mitre техникийн ID, жишээ нь `T1074`; `subtechniques` - Mitre дэд техниктэй холбоотой мэдээлэл (`name` - дэд техникийн нэр; `id` - дэд техникийн ID, жишээ нь `T1595.002`); `categories` - Mitre ангилал, өөрөөр хэлбэл довтолгооны шатуудын (kill chain phases) Mitre зураглал.
resulted_ip_list	Хүсэлт тавьсан домэйний DNS хариунд буцаасан IP хаягуудын жагсаалт. Олон IPv4 болон/эсвэл IPv6 хаяг багтаж болно.
response_data	Хүсэлттэй холбоотой түүхий (raw) эсвэл задалсан DNS хариуны өгөгдөл. Буцаасан бичлэгүүд (AAAA, TXT, CNAME гэх мэт), TTL утгууд, хариуны кодууд эсвэл нэмэлт resource record-ууд багтаж болно.

{
		"port_source": 51186,
		"ctc_version": "2.25.2.2",
		"pid_timestamp": 1762773234392,
		"query_type": "AAAA",
		"extra_keys": [],
		"machine_name": "2K19-M64",
		"ring": "slow",
		"event_version": 1,
		"resulted_ip_list": [],
		"response_count": 0,
		"event_name": "dns_query",
		"pid": 1596,
		"mac_source": "00:50:56:8e:2e:7b",
		"direction": "outbound",
		"response_data": [],
		"resolver_port": 53,
		"resolver_ip": "172.23.22.13",
		"datetime": 1762776513635,
		"extra_values": [],
		"domain": "server-01.prod.example.com",
		"mitre_ids": [
			{
				"name": "Command and Scripting Interpreter",
				"id": "T1059",
				"categories": [
					"Execution"
				]
			},
			{
				"name": "Application Layer Protocol",
				"id": "T1071",
				"subtechniques": [
					{
						"name": "DNS",
						"id": "T1071.004"
					}
				],
				"categories": [
					"Command and Control"
				]
			},
			{
				"name": "System Services",
				"id": "T1569",
				"subtechniques": [
					{
						"name": "Service Execution",
						"id": "T1569.002"
					}
				],
				"categories": [
					"Execution"
				]
			},
			{
				"name": "Non-Standard Port",
				"id": "T1571",
				"categories": [
					"Command and Control"
				]
			}
		],
		"ip_source": "10.25.100.178",
		"transport_protocol": "dns",
		"os_version": "Windows Server 2019",
		"response_code": 0,
		"process_name": "svchost.exe",
		"company_id": "5b9bc2701da197f07a8b4567",
		"hardware_id": "138F0E42-F7C0-1721-E545-4DE8DDCCB47E-0050568E2E7B",
		"os_family": "windows",
		"os_platform": "x64",
		"os_type": "server",
		"product_version": "0.3.201.673"
	}

Account management and authentication (Бүртгэл удирдлага ба нэвтрэлт баталгаажуулалт)

Logon (Нэвтрэх)

Хэрэглэгчийн амжилттай нэвтрэлтийг бүртгэж, бүртгэл endpoint-д хандсан үеийг тэмдэглэнэ. Үйл явдлыг хүлээн авахын тулд эхлээд endpoint дээр Audit Logon policy-г идэвхжүүлсэн байх ёстой.

Field name	Description
company_id	GravityZone дахь компанийн ID.
ctc_version	CTC аюулгүй байдлын гарын үсгийн хувилбар.
datetime	Огноо, цаг (Unix epoch цагийн форматаар).
event_name	Үйл явдлын нэр.
event_version	Үйл явдлын хувилбар.
hardware_id	BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
ip_source	Эх IP хаяг.
logon_type	Нэвтрэлтийн төрөлтэй холбоотой ID. Боломжит утгууд: `0` - system; `2` - interactive; `3` - network; `4` - batch; `5` - service; `7` - unlock; `8` - networkcleartext; `9` - newcredentials; `10` - remoteinteractive; `11` - cachedinteractive; `12` - cachedremoteinteractive; `13` - cachedunlock; `255` - invalid (нэвтрэлтийн төрөл).
logon_type_sz	Нэвтрэлтийн төрөл. Боломжит утгууд: `system`, `interactive`, `network`, `batch`, `service`, `unlock`, `networkcleartext`, `newcredentials`, `remoteinteractive`, `cachedinteractive`, `cachedremoteinteractive`, `cachedunlock`, `invalid`. Эдгээр нэвтрэлтийн төрлийн талаар дэлгэрэнгүйг Microsoft-ийн Logon types and descriptions баримтаас үзнэ үү.
machine_name	Endpoint-ийн хост нэр.
os_family	Үйлдлийн системийн төрөл. Боломжит утгууд: `windows`, `linux`, `macos`.
os_platform	Үйлдлийн системийн архитектур. Боломжит утгууд: `x86`, `x64`, `arm64`.
os_type	Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version	Үйлдлийн системийн хувилбар. Жишээ: `Windows 11`.
product_version	BEST бүтээгдэхүүний хувилбар.
user_name	Нэвтэрсэн хэрэглэгч.

{
        "ctc_version": "2.13.4.3",
        "logon_type_sz": "interactive",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "log_on",
        "user_name": "6e925f53-8d3c-4716-b",
        "logon_type": 2,
        "datetime": 1715025164820,
        "ip_source": "::1",
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

Logout (Гарах)

Хэрэглэгчийн сессийн дуусгавар болсон үеийг тодорхойлно. Үйл явдлыг хүлээн авахын тулд эхлээд endpoint дээр Audit Logoff policy-г идэвхжүүлсэн байх ёстой. Эх нийтлэлд заасан алхмуудыг дагаж, 3-р алхамд Audit Logoff policy-г нээнэ.

Field name	Description
company_id	GravityZone дахь компанийн ID.
ctc_version	CTC аюулгүй байдлын гарын үсгийн хувилбар.
datetime	Огноо, цаг (Unix epoch цагийн форматаар).
event_name	Үйл явдлын нэр.
event_version	Үйл явдлын хувилбар.
hardware_id	BEST-ийн үүсгэсэн, endpoint-ийг давтагдахгүйгээр тодорхойлдог ID.
machine_name	Endpoint-ийн хост нэр.
os_family	Үйлдлийн системийн гэр бүл. Боломжит утгууд: `windows`, `linux`, `macos`.
os_platform	Үйлдлийн системийн архитектур. Боломжит утгууд: `x86`, `x64`, `arm64`.
os_type	Үйлдлийн систем клиент эсвэл сервэрийн үүрэг гүйцэтгэдгийг заана.
os_version	Үйлдлийн системийн хувилбар. Жишээ: `Windows 11`.
product_version	BEST бүтээгдэхүүний хувилбар.
user_name	Гарсан хэрэглэгч.

{
        "ctc_version": "2.13.4.3",
        "machine_name": "1022H2X64-N74",
        "event_version": 1,
        "event_name": "log_out",
        "user_name": "6e925f53-8d3c-4716-b",
        "datetime": 1715025164820,
        "os_version": "Windows 10",
        "company_id": "5b9bc2701da197f07a8b4567",
        "hardware_id": "4D8E0E42-22F0-2D94-6823-C3863931877A-0050568E1657",
        "os_family": "windows",
        "os_platform": "x64",
        "os_type": "client",
        "product_version": "7.9.11.406"
    }

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Policy: Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
Network: Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.