Code Injection

IoAId

string array

Уникальный идентификатор индикатора атаки

IoAName

string array

Название индикатора атаки

IoAVersion

integer array

Версия индикатора атаки

IoAAlert

string array

Возводится ли алерт при срабатывании данного индикатора атаки. 

IoAConfidence

string array

Уровень надежности индикатора атаки в зависимости от вероятности ложных срабатываний. High - высокий, Medium - средний, Low - низкий

IoASeverity

string array

Степень важности индикатора атаки с точки зрения возможного влияния события на безопасность компьютеров или локальной сети организации. High - высокий, Medium - средний, Low - низкий

IoATactics

string array

Тактики матрицы MITRE ATT&CK, к которым относится срабатывание данного индикатора атаки

IoATechniques

string array

Техники и подтехники матрицы MITRE ATT&CK, к которым относится срабатывание данного индикатора атаки

IoAEventIds

string array

Перечень идентификаторов событий, связанных с данным индикатором атаки

IoAEventCount

integer array

Количество событий, связанных с данным индикатором атаки

IoASB

string array

Путь к файлу, который отправится на автообработку в песочницу на основании логики индикатора атаки

EventType

string

Тип события

EventId

string

Уникальный идентификатор события

EventTimestamp

int

Дата и время на хосте (клиенте), где произошло событие (дата указана в UTC)

EventReceivedtimestamp

int

Дата и время получения события на сервере

EventSequenceid

int

Номер последовательности отправленного события

HostId

string

Уникальный идентификатор хоста

HostKscId

string

Идентификатор защищаемого хоста для администрирования через KSC

HostMdrId

string

Идентификатор защищаемого хоста в MDR-решении

HostOsmpId

string

Список идентификаторов серверов OSMP Based XDR решений, к которым подключен защищаемый хост

HostOsFamily

string

Тип операционной системы хоста (Windows, Linux)

HostOsName

string

Название операционной системы хоста

HostOsVersion

string

Версия операционной системы хоста

HostName

string

Имя хоста, на котором было обнаружено событие

HostIp

string

IP адрес хоста, на котором было обнаружено событие 

AgentVersion

string

Название продукта, установленного на хосте

AgentKdbTimestamp

int

Временная метка обновления компонентов KDB

AgentSw2Timestamp

int

Временная метка обновления баз компонента SW2

AgentIndexTimestamp

int

Временная метка последнего обновления баз всех компонентов

TargetProcessUniqueid

int

Уникальный идентификатор целевого процесса

TargetProcessId

int

Идентификатор целевого процесса (PID)

TargetProcessCmdline

string

Аргументы командной строки, передаваемые целевому процессу

TargetProcessFileName

string

Имя исполняемого файла целевого процесса (процесса, в котором была выполнена инъекция кода)

TargetProcessFilePath

string

Полный путь без имени файла к исполняемому файлу целевого процесса (процесса, в котором была осуществлена инъекция кода)

TargetProcessFileFullname

string

Полный путь к исполняемому файлу целевого процесса (процесса, в котором была осуществлена инъекция кода)

TargetProcessFileMd5

string

MD5 исполняемого файла целевого процесса

TargetProcessFileSha256

string

SHA256 исполняемого файла целевого процесса

TargetProcessIntegritylevel

int

Уровень целостности целевого процесса

TargetProcessFileUrl

string

URL, с которого был загружен исполняемый файл целевого процесса

TargetProcessFileEmailSrcAddress

string

Адрес отправителя, с которого исполняемый файл целевого процесса был получен в виде вложения

TargetProcessFileAttr

int

Последнее время, когда атрибуты исполняемого файла целевого процесса были изменены

SyscallArgs

string

Аргументы системных вызовов

ProcessCalltrace

string

Трассировка стека функций вызова процесса

ProcessModifiedcmdline

string

Командная строка процесса

InjectMethod

string

Метод инъекции

InjectAddress

string

Поле содержит информацию об адресе, с которого начинается выполнение после инъекции

InjectImageFileName

string

Имя исходного исполняемого файла. Только для SET_WINDOWS_HOOK

InjectImageFileFullname

string

Имя и путь исходного исполняемого файла. Только для SET_WINDOWS_HOOK

ProcessUniqueid

int

Уникальный идентификатор процесса

ProcessId

int

Идентификатор процесса 

ProcessCmdline

string

Командная строка процесса

ProcessCreationflags

string

Список флагов созданого процесса

ProcessDirectory

string

Директория, из которой был запущен процесс

ProcessEnvironment

string

Переменные окружения

ProcessProperties

string

Свойства аккаунта, из-под которого был запущен процесс

ProcessFileLnkName

string

Имя LNK файла,из которого был запущен файл текущего процесса

ProcessFileLnkPath

string

Путь к LNK-файлy, из которого был запущен процесс (без имени файла)

ProcessFileLnkFullname

string

Полный путь к LNK файлу, из которого был запущен файл текущего процесса

ProcessFileLnkCmdline

string

Командная строка LNK-файла

ProcessFileLnkMd5

string

MD5 хэш содержимого LNK файла, из которого был запущен файл текущего процесса

ProcessFileLnkSha256

string

SHA256 хэш LNK файла, из которого был запущен текущий процесс

ProcessIntegritylevel

int

Уровень целостности процесса 

ProcessType

string

Тип процесса

ProcessUserRealid

int

Действующий идентификатор пользователя, запустившего процесс. Указывается для Linux и macOS

ProcessGroupRealid

int

Действующий (реальный) идентификатор группы пользователя, который запустил процесс. Указывается для Linux и macOS

ProcessUserRealname

string

Действующее имя пользователя, запустившего процесс. Указывается для Linux и macOS

ProcessGroupRealname

string

Действующее (реальное) имя группы пользователя, который запустил процесс. Указывается для Linux и macOS

ProcessUserEffectiveid

int

Эффективный идентификатор пользователя, запустившего процесс. Указывается для Linux и macOS

ProcessGroupEffectiveid

int

Эффективный идентификатор группы, к которой принадлежит пользователь, запустивший процесс. Указывается для Linux и macOS

ProcessUserEffectivename

string

Эффективное имя пользователя, запустившего процесс. Указывается для Linux и macOS

ProcessGroupEffectivename

string

Эффективное имя группы пользователя, запустившего процесс. Указывается для Linux и macOS

ProcessFileName

string

Имя файла запущенного процесса (без пути)

ProcessFilePath

string

Путь к файлу запущенного процесса (без имени файла)

ProcessFileFullname

string

Полное имя файла запущенного процесса (включая полный путь к файлу)

ProcessFileSize

int

Размер файла запущенного процесса

ProcessFileCreationtime

int

Дата/время создания файла запущенного процесса

ProcessFileModificationtime

int

Дата/время последней модификации файла запущенного процесса

ProcessFileAttrModificationtime

int

Время последнего изменения атрибутов исполняемого файла процесса

ProcessFileMd5

string

MD5 хэш файла запущенного процесса

ProcessFileSha256

string

SHA256 хэш файла запущенного процесса

ProcessFileAttr

int

Список атрибутов файловой системы  исполняемого файла, от которого был запущен процесс

ProcessFileType

string

Тип файла запущенного процесса

ProcessFileUrl

string

URL-адрес, с которого был загружен исполняемый файл процесса

ProcessFileEmailSrcAddress

string

Email-адрес отправителя письма, во вложении которого был получен файл запущенного процесса

ProcessFileOwnerUserId

int

Идентификатор пользователя владельца файла

ProcessFileOwnerGroupId

int

Идентификатор группы, к которой принадлежит владелец файла

ProcessFileOwnerUserName

string

Имя пользователя владельца файла

ProcessFileOwnerGroupName

string

Имя группы, к которой принадлежит владелец файла

ProcessFileCapPermitted

string

Набор разрешённых возможностей, доступных исполняемому файлу процесса

ProcessFileCapInheritable

string

Разрешения, наследуемые файлом запущенного процесса 

ProcessFileCapEffective

string

Набор эффективных возможностей, которые назначены исполняемому файлу, от которого был запущен процесс

ProcessFileZoneidentifier

int

Идентификатор зоны из альтернативного потока (NTFS) Zone.Identifier, который был назначен при загрузке файла

ProcessFileProductname

string

Имя приложения, указанное в ресурсе VERSIONINFO 

ProcessFileProductversion

string

Версия приложения, указанная в ресурсе VERSIONINFO 

ProcessFileOriginalname

string

Оригинальное имя файла приложения указанное в ресурсе VERSIONINFO

ProcessFileProductvendor

string

Имя компании, указанное в ресурсе VERSIONINFO

ProcessFileDescription

string

Описание, указанное в ресурсе VERSIONINFO

ProcessFileVersion

string

Версия файла, указанная в ресурсе VERSIONINFO

ProcessFileSignResult

string

Результат проверки подписи: пройдена - true, иначе - false

ProcessFileSignTimestamp

int

Дата и время подписания файла

ProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым подписан файл запущенного процесса

ProcessLogonType

string

Тип сеанса входа в систему пользователя, запустившего данный процесс

ProcessLogonSessionId

int

Идентификатор сеанса входа из токена доступа процесса

ProcessUserType

int

Тип аккаунта пользователя, запустившего процесс. Возможные значения: Unknown, Admin, NotAdmin

ProcessUserName

string

Имя пользователя (с доменом), запустившего процесс

ProcessLogonUserId

int

Идентификатор пользователя. Указывается для Linux и macOS

ProcessLogonHostName

string

Полное (FQDN) имя удалённого хоста, с которого залогинился пользователь, запустивший процесс

ParentProcessUniqueid

int

Уникальный идентификатор родительского процесса

ParentProcessId

int

Идентификатор родительского процесса

ParentProcessCmdline

string

Командная строка родительского процесса

ParentProcessCreationflags

string

Список флагов родительского процесса

ParentProcessDirectory

string

Текущая рабочая директория родительского процесса. Указывается для Linux и macOS

ParentProcessFileLnkName

string

Имя (без указания пути) LNK файла, из которого был запущен родительский процесс

ParentProcessFileLnkPath

string

Путь к LNK файлу (без имени файла), из которого был запущен родительский процесс

ParentProcessFileLnkFullname

string

Полный путь к LNK файлу, из которого был запущен родительский процесс

ParentProcessFileLnkCmdline

string

Командная строка LNK-файла родительского процесса

ParentProcessFileLnkMd5

string

MD5 хеш LNK файла, из которого был запущен родительский процесс

ParentProcessFileLnkSha256

string

SHA256 хэш LNK файла, из которого был запущен родительский процесс

ParentProcessIntegritylevel

int

Уровень целостности родительского процесса

ParentProcessType

string

Тип родительского процесса

ParentProcessUserRealid

int

Действующий (реальный) идентификатор пользователя, запустившего родительский процесс. Указано для Linux и macOS

ParentProcessGroupRealid

int

Действующий (реальный) идентификатор группы пользователя, запустившего родительский процесс. Указано для Linux и macOS

ParentProcessUserRealname

string

Действующее (реальное) имя пользователя, запустившего родительский процесс. Указано для Linux и macOS

ParentProcessGroupRealname

string

Действующее (реальное) имя группы пользователя, запустившего родительский процесс. Указано для Linux и macOS

ParentProcessUserEffectiveid

int

Эффективный идентификатор пользователя, запустившего родительский процесс. Ссылочное поле Auditd

ParentProcessGroupEffectiveid

int

Эффективный идентификатор группы, к которой принадлежит пользователь, запустивший родительский процесс. Ссылочное поле Auditd

ParentProcessUserEffectivename

string

Эффективное имя пользователя, запустившего родительский процесс. Ссылочное поле Auditd

ParentProcessGroupEffectivename

string

Эффективное имя группы пользователя, запустившего родительский процесс. Ссылочное поле Auditd

ParentProcessFileName

string

Имя исполняемого файла родительского процесса (без пути)

ParentProcessFilePath

string

Полный путь к исполняемому файлу родительского процесса (без имени файла)

ParentProcessFileFullname

string

Полный путь к исполняемому файлу родительского процесса

ParentProcessFileCreationtime

int

Время создания исполняемого файла родительского процесса

ParentProcessFileModificationtime

int

Последнее время, когда файл родительского процесса был изменен

ParentProcessFileAttrModificationtime

int

Последнее время, когда были изменены атрибуты исполняемого файла родительского процесса

ParentProcessFileMd5

string

MD5-хэш исполняемого файла родительского процесса

ParentProcessFileSha256

string

SHA256-хэш исполняемого файла родительского процесса

ParentProcessFileAttr

int

Список атрибутов файловой системы для исполняемого файла родительского процесса

ParentProcessFileType

string

Тип исполняемого файла родительского процесса

ParentProcessFileUrl

string

URL, с которого был загружен исполняемый файл родительского процесса

ParentProcessFileEmailSrcAddress

string

Адрес отправителя, с которого исполняемый файл родительского процесса был получен как вложение

ParentProcessFileOwnerUserId

int

Идентификатор пользователя владельца исполняемого файла родительского процесса

ParentProcessFileOwnerGroupId

int

Идентификатор группы, к которой принадлежит владелец исполняемого файла родительского процесса

ParentProcessFileOwnerUserName

string

Имя пользователя владельца исполняемого файла родительского процесса

ParentProcessFileOwnerGroupName

string

Имя группы, к которой принадлежит владелец исполняемого файла родительского процесса

ParentProcessFileCapEffective

string

Эффективные возможности исполняемого файла родительского процесса

ParentProcessFileProductname

string

Значение имени продукта из ресурса VERSIONINFO ресурс исполняемого файла родительского процесса

ParentProcessFileOriginalname

string

Оригинальное имя файла из ресурса VERSIONINFO исполняемого файла родительского процесса

ParentProcessFileProductvendor

string

Значение имени компании из ресурса VERSIONINFO исполняемого файла родительского процесса

ParentProcessFileDescription

string

Описание из ресурса VERSIONINFO исполняемого файла родительского процесса

ParentProcessFileSignResult

string

Результат проверки подписи файла родительского процесса: пройдена - true, иначе - false

ParentProcessFileSignTimestamp

int

Дата и время подписания файла родительского процесса

ParentProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым был подписан файл родительского процесса

ParentProcessLogonType

string

Тип сеанса входа в систему родительского процесса

ParentProcessLogonSessionId

int

Идентификатор сеанса входа из токена доступа родительского процесса

ParentProcessProperties

int

Список свойств аккаунта, из-под которого был запущен родительский процесс

ParentProcessUserName

string

Домен и имя пользователя, запустившего родительский процесс

GrandParentProcessUniqueid

int

Уникальный идентификатор прародительского процесса

GrandParentProcessId

int

Идентификатор прародительского процесса

GrandParentProcessCmdline

string

Командная строка прародительского процесса

GrandParentProcessCreationflags

string

Флаги создания прародительского процесса

GrandParentProcessDirectory

string

Директория, из которой был запущен прародительский процесс

GrandParentProcessFileLnkName

string

Имя LNK-файла, из которого был запущен прародительский процесс (без пути)

GrandParentProcessFileLnkPath

string

Полный путь к LNK-файлу, из которого был запущен прародительский процесс(без имени файла)

GrandParentProcessFileLnkFullname

string

Полный путь к LNK-файлу, из которого был запущен прародительский процесс

GrandParentProcessFileLnkCmdline

string

Командная строка LNK-файла, из которого был запущен прародительский процесс

GrandParentProcessFileLnkMd5

string

MD5-хэш LNK-файла, из которого был запущен прародительский процесс

GrandParentProcessFileLnkSha256

string

SHA256 хэш LNK-файла, из которого был запущен прародительский процесс

GrandParentProcessIntegritylevel

int

Уровень целостности прародительского процесса

GrandParentProcessType

string

Тип прародительского процесса

GrandParentProcessUserRealid

int

Действующий (реальный) идентификатор пользователя, запустившего прародительский процесс. Указано для Linux и macOS

GrandParentProcessGroupRealid

int

Действующий (реальный) идентификатор группы пользователя, запустившего прародительский процесс. Указывается для Linux и macOS

GrandParentProcessUserRealname

string

Действующее (реальное) имя пользователя, запустившего прародительский процесс. Указано для Linux и macOS

GrandParentProcessGroupRealname

string

Действующее (реальное) имя группы пользователя, запустившего прародительский процесс. Указано для Linux и macOS

GrandParentProcessUserEffectiveid

int

Эффективный идентификатор пользователя, запустившего прародительский процесс. Ссылочное поле Auditd

GrandParentProcessGroupEffectiveid

int

Эффективный идентификатор группы, к которой принадлежит пользователь, запустивший прародительский процесс. Указывается для Linux и macOS

GrandParentProcessUserEffectivename

string

Эффективное имя пользователя, запустившего прародительский процесс. Ссылочное поле Auditd

GrandParentProcessGroupEffectivename

string

Эффективное имя группы пользователя, запустившего прародительский процесс. Указывается для Linux и macOS

GrandParentProcessFileName

string

Имя исполняемого файла прародительского процесса (без пути)

GrandParentProcessFilePath

string

Полный путь к исполняемому файлу прародительского процесса (без имени файла).

GrandParentProcessFileFullname

string

Полный путь к исполняемому файлу прародительского процесса

GrandParentProcessFileCreationtime

int

Дата и время создания исполняемого файла прародительского процесса

GrandParentProcessFileModificationtime

int

Последнее время, когда исполняемый файл прародительского процесса был изменен

GrandParentProcessFileAttrModificationtime

int

Последнее время, когда были изменены атрибуты исполняемого файла прародительского процесса

GrandParentProcessFileMd5

string

MD5-хэш исполняемого файла прародительского процесса

GrandParentProcessFileSha256

string

SHA256-хэш исполняемого файла прародительского процесса

GrandParentProcessFileAttr

int

Список атрибутов файловой системы для исполняемого файла прародительского процесса

GrandParentProcessFileType

string

Тип исполняемого файла прародительского процесса

GrandParentProcessFileUrl

string

URL, откуда был загружен исполняемый файл прародительского процесса. Заполняется если файл прародительского процесса был загружен из интернета

GrandParentProcessFileEmailSrcAddress

string

Адрес отправителя, с которого исполняемый файл прародительского процесса был получен как вложение. Заполняется, если файл прародительского процесса был получен в письме как вложение

GrandParentProcessFileOwnerUserId

int

Идентификатор пользователя владельца исполняемого файла прародительского процесса

GrandParentProcessFileOwnerGroupId

int

Идентификатор группы, к которой принадлежит владелец исполняемого файла прародительского процесса

GrandParentProcessFileOwnerUserName

string

Имя пользователя владельца исполняемого файла прародительского процесса

GrandParentProcessFileOwnerGroupName

string

Имя группы владельца исполняемого файла прародительского процесса

GrandParentProcessFileCapEffective

string

Эффективные возможности исполняемого файла прародительского процесса

GrandParentProcessFileProductname

string

Значение имени продукта из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileOriginalname

string

Оригинальное имя файла из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileProductvendor

string

Значение имени компании из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileDescription

string

Описание из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileSignResult

string

Результат проверки подписи файла прародительского процесса: пройдена - true, иначе - false

GrandParentProcessFileSignTimestamp

int

Дата и время подписания файла прародительского процесса

GrandParentProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым был подписан файл прародительского процесса

GrandParentProcessLogonType

string

Идентификатор сеанса входа из токена доступа прародительского процесса

GrandParentProcessLogonSessionId

int

Идентификатор сессии входа в систему из маркера доступа grand-parent процесса

GrandParentProcessProperties

int

Список свойств аккаунта, из-под которого был запущен прародительский процесс

GrandParentProcessUserName

string

Имя пользователя (с доменом), запустившего прародительский процесс

CreatorProcessUniqueid

int

Уникальный идентификатор процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessId

int

Идентификатор процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessCmdline

string

Командная строка процесса, который является фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessCreationflags

string

Флаги создания процесса, который является фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessDirectory

string

Текущая рабочая директория процесса, который является фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkName

string

Имя LNK-файла (без пути), из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkPath

string

Полный путь к LNK-файлу, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkFullname

string

Полный путь к LNK-файлу, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). В этом случае передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать в пакете телеметрии и следует смотреть на поля ParentProcess*.

CreatorProcessFileLnkCmdline

string

Параметры командной строки LNK-файла, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). В этом случае передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать в пакете телеметрии и следует смотреть на поля ParentProcess*.

CreatorProcessFileLnkMd5

string

MD5-хеш LNK-файла, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkSha256

string

SHA256-хеш LNK-файла, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessIntegritylevel

int

Уровень целостности процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessType

string

Тип процесса, который является фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessUserRealid

int

Реальный идентификатор пользователя, запустившего процесс, являющийся фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessGroupRealid

int

Реальный идентификатор группы, к которой принадлежит пользователь, запустивший процесс, являющегося фактическим создателем текущего. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessUserRealname

string

Реальное имя пользователя, запустившего процесс, являющийся фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessGroupRealname

string

Реальное имя группы пользователя, запустившего процесс, являющегося фактическим создателем текущего. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessUserEffectiveid

int

Действующий идентификатор процесса, который является фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessGroupEffectiveid

int

Действующий идентификатор группы, к которой принадлежит пользователь, запустивший процесс, являющегося фактическим создателем текущего. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessUserEffectivename

string

Действующее имя пользователя, запустившего процесс, являющийся фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessGroupEffectivename

string

Действующее имя группы пользователя, запустившего процесс, являющегося фактическим создателем текущего. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileName

string

Имя исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFilePath

string

Полный путь (без имени файла) к исполняемому файлу процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileFullname

string

Полный путь к исполняемому файлу процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). В этом случае передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать в пакете телеметрии и следует смотреть на поля ParentProcess*.

CreatorProcessFileCreationtime

int

Время создания исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileModificationtime

int

Время изменения исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileAttrModificationtime

int

Время изменения атрибутов исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileMd5

string

MD5-хеш исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSha256

string

SHA256 -хеш исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileAttr

int

Список атрибутов файловой системы для исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileType

string

Тип исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess).Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileUrl

string

URL-адрес, с которого был загружен исполняемый файл процесса, являющегося фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileEmailSrcAddress

string

Адрес отправителя, от которого исполняемый файла процесса, являющегося фактическим создателем текущего процесса, был получен в виде вложения. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileOwnerUserId

int

Идентификатор пользователя владельца исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileOwnerGroupId

int

Идентификатор группы владельца исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileOwnerUserName

string

Имя пользователя владельца исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileOwnerGroupName

string

Имя группы владельца исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileCapEffective

string

Набор действующих привилегий исполняемого файла процесса, который является фактическим создателем текущего процесса. Указывается для Linux и macOS. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileProductname

string

Значение имени продукта из ресурса VERSIONINFO исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileOriginalname

string

Оригинальное имя файла из ресурса VERSIONINFO исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileProductvendor

string

Значение имени компании из ресурса VERSIONINFO исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileDescription

string

Описание из ресурса VERSIONINFO исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSignResult

string

Результат проверки подписи исполняемого файла процесса, являющегося фактическим создателем текущего процесса: пройдена - true, иначе - false. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSignTimestamp

int

Дата и время подписания файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess).Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым подписан файл процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessLogonType

string

Тип сеанса входа в систему пользователя, запустившего процесс, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessLogonSessionId

int

Идентификатор сеанса входа из маркера доступа процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessProperties

int

Свойства аккаунта, из-под которого был запущен процесс, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessUserName

string

Имя пользователя (с доменом), запустившего процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*