Дополнительная информация о событии в CEF-сообщении

act

Тип файловой операции (open, close, read, write, create, delete, chmod, chown, rename)

FFM-XXX

Операция, которую выполняет пользователь над объектом

ADM-XXX, CVE-XXX, MLW-XXX, SD-XXX, MS-XXX

Тип операции над контейнером

FCL-XXX

Тип операции (created, modified, deleted)

RBAC-XXX

Тип локального подключения (login, GUI, su, sudo) при логировании авторизаций в ОС хоста

FHL-XXX

Маркер изменения параметров ротации при операциях с s3-бакетом

ADM-XXX

app

Протокол, по которому осуществлялась авторизация на ОС хоста (SSH, TELNET, RDP) (англ. Application protocol)

FHL-XXX

cat

Название категории события в рамках компонента Защита от файловых угроз (англ. Event category)

FFTP-XXX

Тип операции export, import (англ. KCS operation type)

ADM-XXX, EXIMCO-XXX

cn1

Новый идентификатор процесса (англ. New PID)

FPM-XXX

Общее количество событий этого типа на узле за минуту (англ. Total events per minute)

AG-XXX

Количество занятого места в бакете s3 в процентном соотношении от всего доступного места (англ. Occupied bucket space in percent)

WARN-XXX

Количество уникальных ресурсов, не прошедших проверку на соответствие стандартам (англ. Amount of failed resources)

BNCH-XXX

cn2

Количество потерянных событий на узле за минуту (англ. Lost events amount)

AG-XXX

Идентификатор объекта, обнаруженного в рамках компонента Защита от файловых угроз (англ. Object ID)

FFTP-XXX

cn3

Процентное соотношение потерянных событий за минуту (англ. Lost events percentage)

AG-XXX

cs1

Имя кластера (англ. Cluster name)

FPM-XXX, FNT-XXX, FFM-XXX, FFTP-XXX, FLP-XXX, FCL-XXX, RBAC-XXX, BNCH-XXX, FHL-XXX

Название роли (англ. Role name)

ADM-XXX

Название принятого риска (англ. Risk name)

CVE-XXX, MLW-XXX, SD-XXX, MS-XXX

Название сканера (англ. Scanner name)

SJ-XXX

Путь, к которому обратился пользователь (англ. End point)

API-XXX

Имя бакета s3 (англ. Bucket name)

ADM-XXX, WARN-XXX

Название группы агентов (англ. Agent group name)

ADM-XXX

Название сканер-клиента, в котором обновилась база уязвимостей (англ. Image handler name)

WARN-XXX

cs2

Имя узла (англ. Node name)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX, BNCH-XXX, AG-XXХ, FHL-XXX, SJ-XXX

Название группы LDAP, в которую входит пользователь (англ. LDAP group name)

ADM-XXX

Название группы в службе идентификации, в которой может находиться внешний пользователь (англ. IdP group name)

ADM-XXX

cs3

Название пространства имен (англ. Namespace name)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX, RBAC-XXX

Название измененного репозитория (англ. Repository name)

ADM-XXX

Название сработавшего правила отраслевого стандарта (англ. Benchmark name)

BNCH-XXX

Название терминала, через который осуществлялась попытка входа (англ. TTY)

FHL-XXX

Название пода агента (англ. Agent name)

AG-XXX

Название компонента решения (англ. Component name)

CORE-XXX

Идентификатор задания на сканирование, которое выполнил сканер (англ. Job ID)

SJ-XXX

cs4

Выполняемая команда (англ. Command)

FPM-XXX

Информация о новом владельце (англ. New owner)

FFM-XXX

Информация о группах, в которых состоит инициатор (англ. Initiator groups)

RBAC-XXX

Имя реестра образов (англ. Registry name)

ADM-XXX

Работа файлового перехватчика, который включен в параметрах компонента Защита от файловых угроз в профиле среды выполнения контейнера (англ. File interceptor mode);

FFTP-XXX

Команда из командной строки (cmd) при операции sudo (англ. Operation).

FHL-XXX

cs5

Имя пода (англ. Pod name)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX, CORE-XXX

Тип интеграции со средствами уведомления (Email, Telegram, Webhook), а также тип интеграции для авторизации пользователей (LDAP, SSO) (англ. Integration type)

ADM-XXX

cs6

Имя контейнера (англ. Container name)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX

Название интеграции (англ. Integration name)

ADM-XXX

c6a1

IP адрес узла (англ. Node IP)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX, RBAC-XXX, AG-XXX, FHL-XXX

dhost

Имя сервера назначения (LDAP-сервера или SSO-сервера) (англ. Destination host name)

ADM-XXX

deviceDirection

Тип соединения (англ. Traffic type)

Для входящих соединений указывается 0, для исходящих соединений – 1.

FNT-XXX

deviceExternalID

Уникальный идентификатор экземпляра решения (англ. KCS ID).

Идентификатор не меняется при изменении пода.

Во всех событиях

deviceFacility

Cтатус операции, полученный непосредственно перед отправкой события (англ. KCS operation current status)

EXIMCO-XXX

dpid

Идентификатор процесса (англ. PID)

FPM-XXX, FFM-XXX, FFTP-XXX, FLP-XXX, FHL-XXX

dproc

Название процесса (выполняемая команда) (англ. Process name)

FFM-XXX

dpt

Порт точки назначения соединения (англ. Destination port)

FNT-XXX

dst

IP-адрес точки назначения соединения в сети IPv4 (англ. Destination IP)

FNT-XXX

duid

Действующий идентификатор пользователя (англ. EUID).

FPM-XXX, FFM-XXX, FFTP-XXX, FLP-XXX

Идентификатор пользователя, под которым осуществлялся вход (для событий логирования авторизации в ОС хоста)

FHL-XXX

duser

Имя пользователя, в отношении которого было совершено действие (англ. Destination username)

ADM-XXX, FHL-XXX

end

Дата истечения принятого риска (англ. End time)

CVE-XXX, MLW-XXX, SD-XXX, MS-XXX

externalId

Идентификатор события в ClickHouse (англ. External ID)

Во всех событиях

fileHash

Хеш образа (англ. Image digest)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX

filePath

Путь к файлу (англ. Path)

FPM-XXX, FFTP-XXX, FLP-XXX

Новый путь к файлу (для событий доступа к объектам файловой системы контейнера) (англ. New file path)

FFM-XXX

Полный путь до файла, который не прошел проверку целостности

AG-XXX, CORE-XXX

filePermission

Набор прав (англ. File Permission) доступа к файлу

FFM-XXX

Набор функциональных возможностей контейнера

FCL-XXX

fileType

Тип объекта, с которым произошло событие (англ. Object type)

RBAC-XXX, RT-XXX

flexDate1

Дата обновления базы в формате dd-mm-yyyyThh:mm:ss.sssZ (англ. Root index date)

WARN-XXX, AG-XXX

flexString1

Действующий идентификатор группы (англ. EGID)

FPM-XXX, FFM-XXX, FLP-XXX

Тип политики безопасности (англ. Policy type)

ADM-XXX, CI-XXX, PLC-XXX

Уровень угрозы уязвимости (англ. Detect danger level)

FFTP-XXX

Тип мониторинга на узле (англ. Node monitoring)

AG-XXX

Формат, в котором загружен SBOM образа

ADM-XXX

Тип интеграции с модулями проверки подписей образов (англ. Image sign validator type)

ADM-XXX

Название внешней группы (англ. EG Name)

ADM-XXX

Название правила (англ. Control name)

ADM-XXX, RT-XXX

flexString2

Идентификатор контейнера (англ. Container ID)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX

Название политики, для RT-XXX – название правила для политики контроля доступа (англ.Policy name)

ADM-XXX, CI-XXX, PLC-XXX, RT-XXX

Название профиля среды выполнения (англ. Profile name)

ADM-XXX

Название области применения (англ. Application scope name)

ADM-XXX

Название интеграции с модулем проверки подписей образов (англ. Image sign validator name)

ADM-XXX

Название отраслевого стандарта (англ. Benchmark framework name)

ADM-XXX

fname

Имя образа (артефакта)

ADM-XXX, CMP-XXX, NCMP-XXX, CI-ХХХ, PLC-ХХХ, SJ-ХХХ, CVE-XXX, MLW-XXX, SD-XXX, MS-XXX

Название объекта с которым произошло событие

RBAC-XXX, RT-XXX

Название отчета

ADM-XXX

Название отчета при возникновении ошибки записи в бакет s3

WARN-XXX

oldFilePath

Ранее использованный путь к файлу (англ. Old File Path)

FFM-XXX

outcome

Значение режима выполнения (audit или block)

FPM-XXX, FNT-XXX, FFM-XXX, FFTP-XXX, FLP-XXX, FCL-XXX

Результат входа в ОС хоста (success или failure)

FHL-ХХХ

Значение режима выполнения контроля доступа (audit или enforce)

RT-XXX

Статус работы компонентов ядра (good, warning, error или failure)

CORE-XXX

Статус работы агентов (connected, disconnected, success, error/warning или disabled/not-available)

AG-XXX

Статус выполнения (success или failure). При статусе выполнения failure решение также передает текст ошибки или код ошибки (reason)

Во всех остальных событиях

reason

Описание причины статуса выполнения Ошибка (англ. Reason)

Во всех событиях со статусом выполнения Ошибка (outcome=failure)

Тексты ошибок и комментарии от Middleware

ADM-XXX, EXIMCO-XXX

request

Путь к репозиторию образа (англ. Image name URL)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FLP-XXX, FCL-XXX

requestMethod

Способ авторизации на ОС хоста (англ. Connection method)

FHL-XXX

rt

Дата и время возникновения события в формате dd-mm-yyyyThh:mm:ss.sssZ (англ. Device receipt time)

Во всех событиях

shost

Домен (имя пода) источника события (англ. Source host).

Во всех событиях

spid

Идентификатор родительского процесса (англ. PPID)

FPM-XXX, FFM-XXX, FLP-XXX, FHL-XXX

sproc

Идентификатор операции экспорта или импорта (англ. KCS operation ID)

ADM-XXX, EXIMCO-XXX

spt

Порт источника соединения (англ. Source port)

FNT-XXX, FLP-XXX

src

IP-адрес источника соединения (англ. Source IP address)

FNT-XXX

IP-адрес пользователя, инициировавшего действие

ADM-XXX, CVE-XXX, MLW-XXX, SD-XXX, MS-XXX, CI-ХХХ, PLC-ХХХ, API-ХХХ, WARN-XXX

IP-адрес пользователя

FHL-XXX

suid

Идентификатор пользователя, который запустил вредоносный файл (англ. Source Used ID)

FFTP-XXX

suser

Пользователь, инициировавший действие (англ. Source Username). Указывается в следующем формате: имя пользователя и IdP для внешних пользователей (например, SSO: https://example.sso.identityprovider.com).

ADM-XXX, CVE-XXX, MLW-XXX, SD-XXX, MS-XXX, CI-ХХХ, PLC-ХХХ, API-ХХХ, FNT-XXX, FHL-XXX

Инициировавший действие пользователь, который авторизовался в решении

RBAC-XXX

KCSboundingCaps

Максимальный набор функциональных возможностей, который может быть назначен процессу или контейнеру, либо использован процессом или контейнером (англ. Bounding capabilities)

FCL-XXX

KCSeffectiveCaps

Доступный процессу или контейнеру набор функциональных возможностей (англ. Effective capabilities)

FCL-XXX

KCSexpPorts

Связанные порты, позволяющие трафику перенаправляться с порта на хост-устройстве в порт контейнера (англ. Exposed ports)

FCL-XXX

KCSfileHashMd5

Хеш вредоносного файла в формате MD5 (англ. File hash (MD5))

FFTP-XXX

KCSfileHashSha256

Хеш вредоносного файла в формате SHA256 (англ. File hash (SHA256))

FFTP-XXX

KCSinheritableCaps

Наследуемый процессами от родительского процесса набор функциональных возможностей (англ. Inheritable capabilities)

FCL-XXX

KCSmalwareName

Название обнаруженного вредоносного ПО (англ. Malware name)

FFTP-XXX

KCSmalwareType

Тип обнаруженного вредоносного ПО (англ. Malware type)

FFTP-XXX

KCSmountVolumes

Монтируемые директории контейнера (англ. Mounted volumes)

FCL-XXX

KCSoperInitiator

Инициатор операции над контейнером (англ. Operation initiator)

FCL-XXX

KCSpermittedCaps

Функциональные возможности, определяющие потенциально доступные для процесса возможности (англ. Permitted capabilities)

FCL-XXX

KCSprivileged

Наличие привилегированного доступа у контейнера ко всем объектам на хост-устройстве (англ. Privileged)

FCL-XXX

KCSrelatedPolicies

Названия связанных политик, из-за которых выявлен инцидент при исследовании событий безопасности (англ. Related policies)

FPM-XXX, FFM-XXX, FNT-XXX, FFTP-XXX, FCL-XXX, FLP-XXX

KCSreturnvalue

Возвращаемое значение при выполнении системного вызова (англ. Return Value)

FPM-XXX, FFM-XXX

KCSroRootFs

Наличие запрета на запись в корневую файловую систему контейнера (англ. Read-only root file system)

FCL-XXX