Экспорт журналов в формате JSON

node

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ersthetatica

user

Имя пользователя.

{"guid":"37333739-3733-3734-3635-366400000000","name":"System","groups":[]}}

Идентификатор сессии.

a7a3cd49-8232-4f1a-962a-3659af89e96f (если System: 00000000-0000-0000-0000-000000000000)

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ersthetatica

Причина, по которой было создано событие, например, причина блокировки сайта.

"url_cats":[{"id":39,"name":"Social Networking","threat_level":3}]

Используемый протокол 4-го уровня.

TCP

Имя хоста.

www.google.com

Действие, принятое устройством в соответствии с настроенными политиками.

block

Количество байтов, переданных в направлении источник — назначение.

52

Количество пакетов, переданных в направлении назначение — источник.

100

Количество пакетов, переданных в направлении источник — назначение.

2

Количество байтов, переданных в направлении назначение — источник.

5

Метод, используемый для доступа к URL-адресу (POST, GET и т.п.).

GET

Поле содержит URL-адрес запрашиваемого ресурса с указанием используемого протокола.

http://www.secure.com

Тип контента.

application/json

Код ответа HTTP.

302

URL источника запроса (реферер HTTP).

https://www.google.com/

Поле указывает было ли содержимое расшифровано.

true, false

Useragent пользовательского браузера.

Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:96.0) Gecko/20100101 Firefox/96.0

Идентификатор приложения.

20

Название приложения.

Youtube

Уровень угрозы приложения.

0

Протокол прикладного уровня и его версия.

HTTP\/1.1"

Порт источника.

Может принимать значения от 0 до 65535.

Порт назначения.

Может принимать значения от 0 до 65535.

Название правила.

Default allow

timestamp

Время получения события в формате: yyyy-mm-ddThh:mm:ssZ.

2022-05-12T08:11:46.15869Z

session

Идентификатор сессии.

00000000-0000-0000-0000-000000000000

node

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ntoorereaeda

reasons

Причина, по которой было создано событие, например, url категория, на которых сработало правило.

{"url_cats":[{"id":37,"name":"Search Engines & Portals","threat_level":1}]}

proto

Используемый протокол 4-го уровня.

UDP

host

Имя хоста.

google.com

data

Поле используется для указания передаваемых данных.

{"question":[{"domain":"google.com","type":"A","class":"IN"}],

"answer":[{"domain":"google.com","type":"TXT","class":"IN","ttl":5,"data":"Blocked"},{"domain":"google.com","type":"A","class":"IN","ttl":5,"data":"10.10.0.1"}]}

url_categories

id

Идентификатор сработавшей URL-категории.

37

threat_level

Уровень угрозы сработавшей категории.

Может принимать значения:

• 1 — очень низкий.

• 2 — низкий.

• 3 — средний.

• 4 — высокий.

• 5 — очень высокий.

name

Название сработавшей категории.

Search Engines & Portals

action

Действие, принятое устройством в соответствии с настроенными политиками.

block

application

id

Идентификатор приложения.

5

name

Название приложения.

threat_level

Уровень угрозы приложения.

0

app_protocol

Протокол прикладного уровня.

DNS

source

zone

guid

Уникальный идентификатор зоны источника трафика.

d0038912-0d8a-4583-a525-e63950b1da47

name

Название зоны источника трафика.

Trusted

country

Название страны источника.

RU (отображается двухбуквенный код страны)

ip

IPv4-адрес источника трафика.

10.10.10.10

port

Порт источника.

Может принимать значения от 0 до 65535.

mac

MAC-адрес источника.

01:23:45:67:89:AB

destination

zone

guid

Уникальный идентификатор зоны назначения трафика.

3c0b1253-f069-4060-903b-5fec4f465db0

name

Название зоны назначения трафика.

Untrusted

country

Название страны назначения.

RU (отображается двухбуквенный код страны)

ip

IPv4-адрес назначения трафика.

104.19.197.151

port

Порт назначения

Может принимать значения от 0 до 65535. Для DNS обычно используется порт 53.

mac

MAC-адрес назначения

01:23:45:67:89:AB

rule

guid

Уникальный идентификатор правила, срабатывание которого создало событие.

59e38e06-533a-4771-9664-031c3e8b2e1f

name

Название правила, срабатывание которого вызвало событие.

Rule1

Type

Тип сработавшего правила.

user

guid

Уникальный идентификатор пользователя. Если пользователь типа Unknown, то идентификатор: 00000000-0000-0000-0000-000000000000.

a7a3cd49-8232-4f1a-962a-3659af89e96f

name

Имя пользователя.

user1

groups

guid

Уникальный идентификатор группы, в которых состоит пользователь.

919878b2-e882-49ed-3331-8ec72c3c79cb

name

Название группы, в которой состоит пользователь.

Default Group

Идентификатор сессии.

a7a3cd49-8232-4f1a-962a-3659af89e96f (если System: 00000000-0000-0000-0000-000000000000)

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ersthetatica

Используемый протокол 4-го уровня.

TCP или UDP

Действие, принятое устройством в соответствии с настроенными политиками.

accept

Количество байтов, переданных в направлении назначение — источник.

6

Дополнительные данные.

null

Протокол прикладного уровня.

HTTP

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ersthetatica

Используемый протокол 4-го уровня.

TCP или UDP

Действие, принятое устройством в соответствии с настроенными политиками.

accept

Количество байтов, переданных в направлении источник — назначение.

100

Количество байтов, переданных в направлении назначение — источник.

6

Дополнительные данные.

null

Название приложения.

Youtube

Название правила, срабатывание которого вызвало событие.

Allow trusted to untrusted

Порт источника.

Может принимать значения от 0 до 65535.

Порт назначения.

Может принимать значения от 0 до 65535.

Действие, принятое устройством в соответствии с настроенными политиками.

block

Идентификатор приложения.

195

Название приложения.

Уровень угрозы приложения.

Может принимать значения от 2 до 10 (установленный уровень угрозы приложения, умноженный на 2).

Протокол прикладного уровня.

SSH или SFTP

Порт назначения.

Может принимать значения от 0 до 65535.

Название правила, срабатывание которого вызвало событие.

SSH Rule Example

timestamp

Время получения события в формате: yyyy-mm-ddThh:mm:ssZ.

2022-05-12T08:11:46.15869Z

node

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ersthetatica

action

Действие, принятое устройством в соответствии с настроенными политиками.

mark

bytes_sent

Количество байтов, переданных в направлении источник — назначение.

0

bytes_recv

Количество байтов, переданных в направлении назначение — источник.

0

packets_sent

Количество пакетов, переданных в направлении источник — назначение.

0

packets_rcv

Количество пакетов, переданных в направлении назначение — источник.

0

decrypted

Поле указывает было ли содержимое расшифровано.

true, false

from

Почтовый адрес отправителя.

sender@example.com

to

Почтовый адрес получателя.

receiver@example.com

application

id

Идентификатор приложения.

9

name

Название приложения.

threat_level

Уровень угрозы приложения.

Может принимать значения от 2 до 10 (установленный уровень угрозы приложения, умноженный на 2).

app_protocol

Сетевой протокол прикладного уровня.

SMTP

source

zone

guid

Уникальный идентификатор зоны источника трафика.

d0038912-0d8a-4583-a525-e63950b1da47

name

Название зоны источника трафика.

Trusted

country

Название страны источника.

RU (отображается двухбуквенный код страны)

ip

IPv4-адрес источника трафика.

10.10.10.10

port

Порт источника.

Может принимать значения от 0 до 65535.

mac

MAC-адрес источника.

01:23:45:67:89:AB

destination

zone

guid

Уникальный идентификатор зоны назначения трафика.

3c0b1253-f069-4060-903b-5fec4f465db0

name

Название зоны назначения трафика.

Untrusted

country

Название страны назначения.

RU (отображается двухбуквенный код страны)

ip

IPv4-адрес назначения трафика.

10.10.10.10

port

Порт назначения.

Может принимать значения от 0 до 65535.

port

MAC-адрес назначения.

01:23:45:67:89:AB

rule

guid

Уникальный идентификатор правила, срабатывание которого создало событие.

59e38e06-533a-4771-9664-031c3e8b2e1f

name

Название правила, срабатывание которого вызвало событие.

Mail security rule

type

Тип сработавшего правила.

Mail security rule

user

guid

Уникальный идентификатор пользователя.

a7a3cd49-8232-4f1a-962a-3659af89e96f

name

Имя пользователя.

user_name

groups

guid

Уникальный идентификатор группы, в которой состоит пользователь.

919878b2-e882-49ed-3331-8ec72c3c79cb

name

Название группы, в которой состоит пользователь.

Default Group

Имя пользователя.

DESKTOP-0731NFQ\\Username

Результат выполнения WMI или SNMP запроса.

OK, Error

Источник журнала событий.

Microsoft-Windows-Security-Auditing

Название конечного устройства или сенсора.

DESKTOP-0731NFQ

Идентификатор конечного устройства или сенсора.

35fb5820-74db-4eac-b05b-d01bc284c4e8

Категория события.

Special Logon

Строка вставки – данные блока EventData события Windows.

Windows DefenderSECURITY_PRODUCT_STATE_ON

Ошибка WMI или SNMP, возникшая в результате выполнения запроса.

0

Подробная информация о событии.

Тип запуска службы "Установщик модулей Windows" был изменен с "Автоматически" на "Вручную".

Идентификатор счётчика, добавленного в WMI или SNMP сенсор.

35fb5820-74db-4eac-b05b-d01bc284c4e8

Имя компьютера.

DESKTOP-0731NFQ

Идентификатор сессии.

00000006-0000-0000-f04d-14bdad0f01bb

Используемый протокол 4-го уровня.

TCP

Имя хоста.

www.google.com

Действие, принятое устройством в соответствии с настроенными политиками.

drop, accept, nat

Идентификатор конечного устройства.

35fb5820-74db-4eac-b05b-d01bc284c4e8

Тип контента.

application/json

Приложение, к которому было применено правило межсетевого экрана.

C:\\Program Files (x86)\\Microsoft\\Edge\\Application\\msedge.exe

Название правила, срабатывание которого вызвало событие.

Default allow

Идентификатор категории, к которой относится URL.

39

Уровень угрозы категории URL.

Может принимать значения:

• 1 — очень низкий.

• 2 — низкий.

• 3 — средний.

• 4 — высокий.

• 5 — очень высокий.

Название категории, к которой относится URL.

Social Networking

Имя пользователя, под учётной записью которого выполнен вход на конечном устройстве.

DESKTOP-0731NFQ\\User

Название конечного устройства или сенсора.

DESKTOP-0731NFQ

Идентификатор конечного устройства или сенсора.

35fb5820-74db-4eac-b05b-d01bc284c4e8

Издатель сертификата для приложения.

Microsoft Windows Production PCA 2011

Запрос командной строки.

C:\\Windows\\system32\\svchost.exe -k wsappx -p -s AppXSvc

Идентификатор сессии.

1656038456

Название конечного устройства или сенсора.

DESKTOP-0731NFQ

Идентификатор конечного устройства или сенсора.

35fb5820-74db-4eac-b05b-d01bc284c4e8

Драйвер Windows, обеспечивающий взаимодействие компьютера с оборудованием/устройством.

USBHUB3

timestamp

Время получения события в формате: yyyy-mm-ddThh:mm:ssZ.

2022-05-12T08:11:46.15869Z

node_name

Имя, которое однозначно идентифицирует устройство UserGate, генерирующее это событие.

utmcore@ntoorereaeda

endpoint_id

Идентификатор конечного устройства — источника события.

16535060-5a1a-4e92-8331-239406ec34da

endpoint_name

Имя конечного устройства — источника события (UserGate клиента, сенсора WMI итд.).

dep.local

user_name

Поле «Пользователь» из журнала AD.

user1.dep.local

log_level

Поле «Keywords» из журнала AD.

Audit Success

log_category_string

Код категории события из журнала AD.

Group Membership

log_file

Файл журнала Windows.

Security

source_name

Поле «Источник» из журнала AD.

Microsoft-Windows-Security-Auditing

data

Описание события в журнале AD.

Group membership information.\r\n\r\nSubject:\r\n\tSecurity ID:\t\tS-1-0-0\r\n\tAccount Name:\t\t-\r\n\tAccount Domain:\t\t-\r\n\tLogon ID:\t\t0x0\r\n\r\nLogon Type:\t\t\t3\r\n\r\nNew Logon:\r\n\tSecurity ID:\t\tS-1-5-21-3795870133-5220325-2125745684-1103\r\n\tAccount Name:\t\tuser1\r\n\tAccount Domain:\t\tDEP\r\n\tLogon ID:\t\t0x7A25A21\r\n\r\nEvent in sequence:\t\t1 of 1\r\n\r\nGroup Membership:\t\t\t\r\n\t\t%{S-1-5-21-3795870133-5220325-2125745684-513}\r\n\t\t%{S-1-1-0}\r\n\t\t%{S-1-5-32-544}\r\n\t\t%{S-1-5-32-555}\r\n\t\t%{S-1-5-32-545}\r\n\t\t%{S-1-5-32-554}\r\n\t\t%{S-1-5-2}\r\n\t\t%{S-1-5-11}\r\n\t\t%{S-1-5-15}\r\n\t\t%{S-1-5-21-3795870133-5220325-2125745684-512}\r\n\t\t%{S-1-5-21-3795870133-5220325-2125745684-572}\r\n\t\t%{S-1-5-64-10}\r\n\t\t%{S-1-16-12288}\r\n\r\nThe subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.\r\n\r\nThe logon type field indicates the kind of logon that occurred. The most common types are 2 (interactive) and 3 (network).\r\n\r\nThe New Logon fields indicate the account for whom the new logon was created, i.e. the account that was logged on.\r\n\r\nThis event is generated when the Audit Group Membership subcategory is configured. The Logon ID field can be used to correlate this event with the corresponding user logon event as well as to any other security audit events generated during this logon session.

computer_name

Узел Windows из журнала AD, на котором произошло событие.

DC1.dep.local

insertion_string

Параметры события из журнала AD после парсинга сообщения.

['S-1-0-0', '-', '-', '0x0', 'S-1-5-21-3795870133-5220325-2125745684-1103', 'user1', 'DEP', '0x7a25a21', '3', '1', '1', '\\r\\n\\t\\t%

{S-1-5-21-3795870133-5220325-2125745684-513}\\r\\n\\t\\t%{S-1-1-0}\\r\\n\\t\\t%{S-1-5-32-544}\\r\\n\\t\\t%{S-1-5-32-555}\\r\\n\\t\\t%{S-1-5-32-545}\\r\\n\\t\\t%{S-1-5-32-554}\\r\\n\\t\\t%{S-1-5-2}\\r\\n\\t\\t%{S-1-5-11}

\\r\\n\\t\\t%{S-1-5-15}\\r\\n\\t\\t%{S-1-5-21-3795870133-5220325-2125745684-512}\\r\\n\\t\\t%{S-1-5-21-3795870133-5220325-2125745684-572}\\r\\n\\t\\t%{S-1-5-64-10}\\r\\n\\t\\t%{S-1-16-12288}']

error

Код ошибки из журнала AD, которая произошла при получении данных.

0

status

Описание ошибки из журнала AD, которая произошла при получении данных.

counter_id

Идентификатор счетчика WMI сенсора.

login_logout

log_event_code

Поле «Код события» из журнала AD.

4627

log_event_id

Поле «Идентификатор события» из журнала AD.

4627

log_event_type

Тип событий журнала Windows (Система\Безопасность\Приложение и т. д.).

4

timestamp

Время получения события в формате: yyyy-mm-ddThh:mm:ssZ.

2022-05-12T08:11:46.15869Z

node

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ntoorereaeda

syslog_facility

Тип источника события syslog. Например, user-level messages.

Подробнее о значениях syslog facility смотрите в RFC 5424.

1

syslog_severity

Уровень важности события syslog. Например, warning.

Подробнее о значениях syslog severity смотрите в RFC 5424.

4

computer_name

Имя устройства, на котором произошло событие.

node1

app_name

Приложение, вызвавшее событие.

org.gnome.Shell.desktop

process_id

PID процесса, вызвавшего событие.

3036

data

Описание события.

[3603:3603:1130/125201.838651:ERROR:CONSOLE(6)] \"console.assert\", source: devtools://devtools/bundled/devtools-frontend/front_end/panels/console/console.js (6)

rule

guid

Уникальный идентификатор правила, срабатывание которого создало событие.

16535060-5a1a-4e92-8331-239406ec34da

name

Название правила, срабатывание которого вызвало событие.

Example — Allow user-level messages

type

Тип сработавшего правила.

timestamp

Время получения события в формате: yyyy-mm-ddThh:mm:ssZ.

2022-05-12T08:11:46.15869Z

node

Имя, которое однозначно идентифицирует устройство, генерирующее это событие.

utmcore@ntoorereaeda

reasons

Причина, по которой было создано событие.

{\"user_groups_sids\":[\"S-1-5-21-3795870133-5220325-2125745684-513\",\"S-1-5-21-3795870133-5220325-2125745684-512\",\"S-1-5-21-3795870133-5220325-2125745684-572\"],

\"user_sid\":\"S-1-5-21-3795870133-5220325-2125745684-1103\",\"login\":\"user1\",\"domain\":\"DEV\",\"event_id\":4624}

action

Действие, принятое устройством в соответствии с настроенными политиками.

login

src_ip

IPv4 источника события.

10.10.0.11

rule

guid

Уникальный идентификатор правила, срабатывание которого создало событие.

16535060-5a1a-4e92-8331-239406ec34da

name

Название правила, срабатывание которого вызвало событие.

dev.local

type

Тип сработавшего правила.

syslog

user

guid

Уникальный идентификатор пользователя. Если пользователь типа Unknown, то идентификатор: 00000000-0000-0000-0000-000000000000.

745591c3-9d21-092d-8db4-5b9b0000044f 

name

Имя пользователя.

user1

groups

guid

Уникальный идентификатор группы, в которых состоит пользователь.

aa218609-8716-9252-df20-88c43a0d0bf6

name

Название группы, в которой состоит пользователь.

CN=Domain Users,CN=Users,DC=dev,DC=local