Syslog 和電子郵件警示詳細資料

當您啟用 Syslog 或電子郵件警示時,Tenable Identity Exposure 會在偵測到異常情況、攻擊或變更時發出通知。

注意:在您收到攻擊指標 (IoA) 警示之前,會有需要考慮的攝取時間。此延遲與您在設定 Syslog 和電子郵件警示時,在「測試設定」階段觀察到的時間不相同。因此,請勿使用來自測試設定的持續時間作為基準,與實際攻擊所觸發的警示時間進行比較。

警示標頭

Syslog 警示標頭 (RFC-3164) 使用常見事件格式 (CEF),這是整合安全性資訊與事件管理 (SIEM) 解決方案中的常用格式。

曝險指標 (IoE) 的警示範例

複製

曝險指標 (IoE) 警示標頭

<116>Jan  9 09:24:42 qradar.alsid.app AlsidForAD[4]: "0" "1" "Alsid Forest" "emea.corp" "C-PASSWORD-DONT-EXPIRE" "medium" "CN=Gustavo Fring,OU=Los_Pollos_Hermanos,OU=Emea,DC=emea,DC=corp" "28" "1" "R-DONT-EXPIRE-SET" "2434" "TrusteeCn"="Gustavo Fring"

攻擊指標 (IoA) 的警示範例

複製

攻擊指標 (IoA) 警示標頭

<116>Jan  9 09:24:42 qradar.alsid.app AlsidForAD[4]: "2" "1337" "Alsid Forest" "emea.corp" "DC Sync" "medium" "yoda.alsid.corp" "10.0.0.1" "antoinex1x.alsid.corp" "10.1.0.1" "user"="Gustavo Fring" "dc_name"="MyDC"

警示資訊

通用元素

標頭結構包含下列部分,如表格中所述。

部分 說明
1

時間戳記 - 偵測日期。範例:「Jun 7 05:37:03」

2

主機名稱 — 應用程式的主機名稱。範例:「customer.tenable.ad」

3

產品名稱 - 觸發異常情況的產品名稱。範例:「TenableAD」、「AnotherTenableADProduct」

4

PID- 產品 (Tenable Identity Exposure) ID。範例:[4]

5

Tenable 訊息類型 - 事件來源的識別碼。範例:「0」(= 每個異常情況)、「1」 (= 變更)、「2」(= 每次攻擊)、「3」(= 運作狀況檢查狀態變更)

6

Tenable Alert ID - 警示的唯一 ID。範例:「0」、「132」

7

樹系名稱 - 相關事件的樹系名稱。範例:「Corp Forest」

8

網域名稱 - 與事件相關的網域名稱。範例:「tenable.corp」、「zwx.com」

9

Tenable 代碼名稱 - 曝險指標 (IoE) 或攻擊指標 (IoA) 的代碼名稱。範例:「C-PASSWORD-DONT-EXPIRE」、「DC Sync」。

10

Tenable 嚴重性等級 - 相關異常情況的嚴重性等級。範例:「嚴重」、「高度」、「中等」

曝險指標 (IoE) 的特定元素

部分 說明
11

AD 物件 - 異常物件的辨別名稱。範例:「CN=s_infosec.scanner,OU=ADManagers,DC=domain,DC=local」

12

Tenable 異常情況 ID - 異常情況的 ID。範例:「24980」、「132」、「28」

13

Tenable 設定檔 ID - Tenable Identity Exposure 觸發異常情況的相關設定檔 ID。範例:「1」 (Tenable)、「2」 (sec_team)

14

AD 原因代碼名稱 - 異常情況產生原因的代碼名稱。範例:「R-DONT-EXPIRE-SET」、「R-UNCONST-DELEG」

15

Tenable 事件 ID - 觸發異常情況的事件 ID。範例:「40667」、「28」

16

Tenable 插入字串名稱 - 異常物件觸發的屬性名稱。範例:「Cn」、「useraccountcontrol」、「member」、「pwdlastset」

17

Tenable 插入字串值 - 異常物件觸發的屬性值。範例:「s_infosec.scanner」、「CN=Backup Operators,CN=Builtin,DC=domain,DC=local」

攻擊指標 (IoA) 的特定元素

部分 說明
11

來源主機名稱 — 攻擊主機的主機名稱。值也可以是「Unknown」。

12

來源 IP 位址 - 攻擊主機的 IP 位址。值可以是 IPv4 或 IPv6。

13

目的地主機名稱 — 遭攻擊主機的主機名稱。

14

目的地 IP 位址 — 遭攻擊主機的 IP 位址。值可以是 IPv4 或 IPv6。

15

攻擊媒介插入字串名稱 - 異常物件觸發的屬性名稱。

16

攻擊媒介插入字串值:異常物件觸發的屬性值。

Syslog 訊息框架

  • 針對 UDP 和 TCP syslog 設定,Tenable Identity Exposure 依據 RFC-6587#3.4.2 使用非透明框架方法來分隔訊息。框架字元為 LF (\n)。

  • 針對具有 TLS 的 TCP,Tenable Identity Exposure 使用 RFC-6587#3.4.1 中所述的八位元組計數方法。

範例