Cyber Security: Вредоносное ПО

Описание

Раздел Вредоносное ПО предназначен для мониторинга событий, связанных с обнаружением и блокировкой вредоносного ПО.

Отображаемые данные

• число зараженных хостов, обнаруженных и заблокированных заражений
• статистика вредоносного ПО по типам
• динамика обнаруженных и заблокированных заражений
• наиболее часто обнаруживаемые и блокируемые виды вредоносного ПО
• хосты с наибольшим числом обнаружений и блокировок вредоносного ПО
• статистика событий заражения с детализацией по хостам
• статистика событий заражения с детализацией по вредоносному ПО

Список дашбордов

Раздел включает три дашборда.

Вредоносное ПО: Общие сведения

Вредоносное ПО: Профиль зараженного хоста

Вредоносное ПО: Профиль типа вредоносного ПО

---

Модель данных

В разделе используются перечисленные ниже поля источников данных. Алиас: sm_cs_malware_indexes.

Поля категоризации

Имя поля	Значение
event.kind	alert
event.category	malware
event.action	Из исходного события.

Поля общего назначения

Место обнаружения вредоносного ПО host

Имя поля	Значение
host.ip	IP-адрес хоста, где обнаружено вредоносное ПО.
host.name	Имя хоста, где обнаружено вредоносное ПО.

Пользователь user

Имя поля	Значение
user.name	Имя пользователя.
user.domain	Домен пользователя.

Источник заражения file

Имя поля	Значение
file.name	Имя файла с вредоносным ПО.
file.path	Полный путь к файлу с вредоносным ПО.
file.hash	Хэш файла с вредоносным ПО.

Прочие поля

Имя поля	Значение
event.original	Исходный текст события.

Необязательные поля

Имя поля	Значение
message	Описание события.
malware_description	Описание угрозы.

---

Справочники

В таблице приведены справочники, используемые разделом.

Название	Поля	Описание
sm_cs_malware_type	malware_description malware_type	Справочник типов угроз.
sm_cs_malware_action	event.action malware_action - (detected | blocked)	Справочник действий с угрозами.

---

Примеры источников

• Cisco Secure Endpoint
• Symantec Endpoint Agent