Syslog 和電子郵件警示詳細資料

當您啟用 Syslog 或電子郵件警示時,Tenable Identity Exposure 會在偵測到異常情況、攻擊或變更時發出通知。

警示標頭

Syslog 警示標頭 (RFC-3164) 使用常見事件格式 (CEF),這是整合安全性資訊與事件管理 (SIEM) 解決方案中的常用格式。

曝險指標 (IoE) 的警示範例

複製

曝險指標 (IoE) 警示標頭

<116>Jan  9 09:24:42 qradar.alsid.app AlsidForAD[4]: "0" "1" "Alsid Forest" "emea.corp" "C-PASSWORD-DONT-EXPIRE" "medium" "CN=Gustavo Fring,OU=Los_Pollos_Hermanos,OU=Emea,DC=emea,DC=corp" "28" "1" "R-DONT-EXPIRE-SET" "2434" "TrusteeCn"="Gustavo Fring"

攻擊指標 (IoA) 的警示範例

複製

攻擊指標 (IoA) 警示標頭

<116>Jan  9 09:24:42 qradar.alsid.app AlsidForAD[4]: "2" "1337" "Alsid Forest" "emea.corp" "DC Sync" "medium" "yoda.alsid.corp" "10.0.0.1" "antoinex1x.alsid.corp" "10.1.0.1" "user"="Gustavo Fring" "dc_name"="MyDC"

警示資訊

通用元素

標頭結構包含下列部分,如表格中所述。

部分 說明
1

時間戳記 - 偵測日期。範例:「Jun 7 05:37:03」

2

主機名稱 — 應用程式的主機名稱。範例:「customer.tenable.ad」

3

產品名稱 - 觸發異常情況的產品名稱。範例:「TenableAD」、「AnotherTenableADProduct」

4

PID- 產品 (Tenable Identity Exposure) ID。範例:[4]

5

Tenable 訊息類型 - 事件來源的識別碼。範例:「0」 (= 每個異常情況)、「1」 (= 變更)、「2」(= 每次攻擊)

6

Tenable Alert ID - 警示的唯一 ID。範例:「0」、「132」

7

樹系名稱 - 相關事件的樹系名稱。範例:「Corp Forest」

8

網域名稱 - 與事件相關的網域名稱。範例:「tenable.corp」、「zwx.com」

9

Tenable 代碼名稱 - 曝險指標 (IoE) 或攻擊指標 (IoA) 的代碼名稱。範例:「C-PASSWORD-DONT-EXPIRE」、「DC Sync」。

10

Tenable 嚴重性等級 - 相關異常情況的嚴重性等級。範例:「嚴重」、「高度」、「中等」

曝險指標 (IoE) 的特定元素

部分 說明
11

AD 物件 - 異常物件的辨別名稱。範例:「CN=s_infosec.scanner,OU=ADManagers,DC=domain,DC=local」

12

Tenable 異常情況 ID - 異常情況的 ID。範例:「24980」、「132」、「28」

13

Tenable 設定檔 ID - Tenable Identity Exposure 觸發異常情況的相關設定檔 ID。範例:「1」 (Tenable)、「2」 (sec_team)

14

AD 原因代碼名稱 - 異常情況產生原因的代碼名稱。範例:「R-DONT-EXPIRE-SET」、「R-UNCONST-DELEG」

15

Tenable 事件 ID - 觸發異常情況的事件 ID。範例:「40667」、「28」

16

Tenable 插入字串名稱 - 異常物件觸發的屬性名稱。範例:「Cn」、「useraccountcontrol」、「member」、「pwdlastset」

17

Tenable 插入字串值 - 異常物件觸發的屬性值。範例:「s_infosec.scanner」、「CN=Backup Operators,CN=Builtin,DC=domain,DC=local」

攻擊指標 (IoA) 的特定元素

部分 說明
11

來源主機名稱 — 攻擊主機的主機名稱。值也可以是「Unknown」。

12

來源 IP 位址 - 攻擊主機的 IP 位址。值可以是 IPv4 或 IPv6。

13

目的地主機名稱 — 遭攻擊主機的主機名稱。

14

目的地 IP 位址 — 遭攻擊主機的 IP 位址。值可以是 IPv4 或 IPv6。

15

攻擊媒介插入字串名稱 - 異常物件觸發的屬性名稱。

16

攻擊媒介插入字串值 - 異常物件觸發的屬性值。

範例