Syslog 和電子郵件警示詳細資料

當您啟用 Syslog 或電子郵件警示時，Tenable Identity Exposure 會在偵測到異常情況、攻擊或變更時發出通知。

注意：在您收到攻擊指標 (IoA) 警示之前，會有需要考慮的攝取時間。此延遲與您在設定 Syslog 和電子郵件警示時，在「測試設定」階段觀察到的時間不相同。因此，請勿使用來自測試設定的持續時間作為基準，與實際攻擊所觸發的警示時間進行比較。

警示標頭

Syslog 警示標頭 (RFC-3164) 使用常見事件格式 (CEF)，這是整合安全性資訊與事件管理 (SIEM) 解決方案中的常用格式。

曝險指標 (IoE) 的警示範例

攻擊指標 (IoA) 的警示範例

警示資訊

通用元素

標頭結構包含下列部分，如表格中所述。

部分	說明
1	時間戳記 - 偵測日期。範例：「Jun 7 05:37:03」
2	主機名稱 — 應用程式的主機名稱。範例：「customer.tenable.ad」
3	產品名稱 - 觸發異常情況的產品名稱。範例：「TenableAD」、「AnotherTenableADProduct」
4	PID- 產品 (Tenable Identity Exposure) ID。範例：[4]
5	Tenable 訊息類型 - 事件來源的識別碼。範例：「0」(= 每個異常情況)、「1」 (= 變更)、「2」(= 每次攻擊)、「3」(= 運作狀況檢查狀態變更)
6	Tenable Alert ID - 警示的唯一 ID。範例：「0」、「132」
7	樹系名稱 - 相關事件的樹系名稱。範例：「Corp Forest」
8	網域名稱 - 與事件相關的網域名稱。範例：「tenable.corp」、「zwx.com」
9	Tenable 代碼名稱 - 曝險指標 (IoE) 或攻擊指標 (IoA) 的代碼名稱。範例：「C-PASSWORD-DONT-EXPIRE」、「DC Sync」。
10	Tenable 嚴重性等級 - 相關異常情況的嚴重性等級。範例：「嚴重」、「高度」、「中等」

曝險指標 (IoE) 的特定元素

部分	說明
11	AD 物件 - 異常物件的辨別名稱。範例：「CN=s_infosec.scanner,OU=ADManagers,DC=domain,DC=local」
12	Tenable 異常情況 ID - 異常情況的 ID。範例：「24980」、「132」、「28」
13	Tenable 設定檔 ID - Tenable Identity Exposure 觸發異常情況的相關設定檔 ID。範例：「1」 (Tenable)、「2」 (sec_team)
14	AD 原因代碼名稱 - 異常情況產生原因的代碼名稱。範例：「R-DONT-EXPIRE-SET」、「R-UNCONST-DELEG」
15	Tenable 事件 ID - 觸發異常情況的事件 ID。範例：「40667」、「28」
16	Tenable 插入字串名稱 - 異常物件觸發的屬性名稱。範例：「Cn」、「useraccountcontrol」、「member」、「pwdlastset」
17	Tenable 插入字串值 - 異常物件觸發的屬性值。範例：「s_infosec.scanner」、「CN=Backup Operators,CN=Builtin,DC=domain,DC=local」

攻擊指標 (IoA) 的特定元素

部分	說明
11	來源主機名稱 — 攻擊主機的主機名稱。值也可以是「Unknown」。
12	來源 IP 位址 - 攻擊主機的 IP 位址。值可以是 IPv4 或 IPv6。
13	目的地主機名稱 — 遭攻擊主機的主機名稱。
14	目的地 IP 位址 — 遭攻擊主機的 IP 位址。值可以是 IPv4 或 IPv6。
15	攻擊媒介插入字串名稱 - 異常物件觸發的屬性名稱。
16	攻擊媒介插入字串值：異常物件觸發的屬性值。

Syslog 訊息框架

• 針對 UDP 和 TCP syslog 設定，Tenable Identity Exposure 依據 RFC-6587#3.4.2 使用非透明框架方法來分隔訊息。框架字元為 LF (\n)。

• 針對具有 TLS 的 TCP，Tenable Identity Exposure 使用 RFC-6587#3.4.1 中所述的八位元組計數方法。

範例