فهم حقول الأحداث (مهجور)

العمل

الإجراء ذو الصلة بنوع الحدث، على سبيل المثال:

• BGP - تجاهل مسار BGP، انظر إلى رسالة الحدث أدناه لمزيد من المعلومات.

• جدار الحماية - تم اتخاذ إجراء القاعدة لهذا الحدث، فقط القواعد التي تحتوي على إعداد التتبع مفعل لإنشاء الأحداث.

  • السماح - يُسمح بالترافيك ولا يتم إنشاء حدث (السلوك الافتراضي)

  • المراقبة - يُسمح بالترافيك ويتم إنشاء حدث

• IPS - للزبائن الذين يستخدمون SAM، الأحداث التي تم إنشاؤها لها إجراء المراقبة

• نوع الجودة آخر ميل - قواعد صحة الروابط تولد أحداث مع إجراء التنبيه

• QoS - تنبيه أو مسح التنبيه

• تفتيش TLS - يتم إنشاء إجراء تنبيه لحالات مثل شهادة غير معروفة أو CA غير موثوقة

اسم Active Directory

اسم التوعية بمستخدم Active Directory المرتبط بالجهاز خلف مقبس

اسم مفتاح API

الاسم المعرف لمفتاح API العام في تطبيق إدارة Cato

التطبيق

التطبيقات المستخدمة في السياسات المختلفة، على سبيل المثال: Facebook, CNN

نوع المصادقة

طريقة المصادقة المتصلة بهذا الحدث، على سبيل المثال: MFA أو كلمة المرور

BGP Cato ASN

ASN الخاص بـ BGP للقرين المحلي لـ Cato BGP (الاتصال المحلي)

BGP Cato IP

عنوان IP لـ BGP لـ القرين لـ Cato BGP (الاتصال المحلي)

رمز خطأ BGP

رسالة الخطأ الخاصة بحدث قطع الاتصال بـ BGP

ASN القرين لـ BGP

ASN الخاص بـ BGP للقرين لـ BGP (الاتصال البعيد)

وصف القرين لـ BGP

لوصف الأحداث BGP، الوصف الجار لـ BGP من تطبيق إدارة Cato

عنوان IP القرين لـ BGP

عنوان IP لـ BGP لـ القرين لـ BGP (الاتصال البعيد)

BGP CIDR المسار

CIDR الخاص بالمسار BGP

رمز خطأ BGP الفرعي

رسالة الخطأ المتصلة بحدث قطع الاتصال بـ BGP

الفئة

فئات Cato الافتراضية للنظام

تطبيق كاتو

بيانات التطبيق المتعلقة بتدفق حركة المرور

تاريخ انتهاء صلاحية الشهادة

تاريخ انتهاء صلاحية شهادة العميل

فئة العميل

نوع العملية التي تولد هذه الترافيك

إصدار العميل

رقم الإصدار لمقبس أو عميل Cato

المتعاونين

لمعلومات أمن API SaaS، عناوين البريد الإلكتروني للمستخدمين الذين تلقوا الملف

اسم المضيف المكون

الاسم المُكوّن في تطبيق إدارة Cato لمضيف بعنوان IP ثابت

خوارزمية الازدحام

خوارزمية التحكم في ازدحام TCP للترافيك في الحدث. قيم ممكنة: CUBIC، NewReno، BBR

اسم الموصل

بالنسبة لـSaS Security API، اسم الموصل

نوع الاتصال

بالنسبة لـ SaS Security API، تطبيق SaaS للموصل

الحساسية

بالنسبة لأحداث XDR، من 0 (بدون مخاطر/تأثير) إلى 10 (مخاطر/تأثير مرتفع جدًا)

الفئات المخصصة

الفئات المخصصة لحسابك (الموارد > الفئات)

بلد الوجهة

لحركة مرور الإنترنت، موقع عنوان IP للخادم الوجهة

رمز بلد الوجهة

للترافيك عن طريق الإنترنت، رمز البلد ذو الحرفين حيث يقع الخادم الوجهة (استنادًا إلى ISO 3166-1 alpha-2)

عنوان IP للوجهة

لحركة مرور الإنترنت، عنوان IP لخادم الوجهة

الوجهة موقع أو مستخدم SDP

للترافيك عن طريق WAN، نوع الوجهة: موقع أو مستخدم SDP

منفذ الوجهة

لحركة مرور الإنترنت، رقم المنفذ لخادم الوجهة

موقع الوجهة

لحركة مرور WAN، اسم موقع الوجهة أو مستخدم SDP

اسم الجهاز

اسم المضيف المتصل بالحدث

ملفات تعريف وضعية الجهاز

الملفات التي تطابق هذا الحدث

اسم المضيف الدليل

لحوادث LDAP، اسم المضيف

عنوان IP للدليل

لحوادث LDAP، عنوان IP لمتحكم المجال

نتيجة مزامنة الدليل

لحوادث LDAP، نتيجة المزامنة مع متحكم المجال

نوع مزامنة الدليل

حدث LDAP تم إنشاؤه لأن هناك مزامنة مع متحكم المجال

اسم العرض

اسم المستخدم

ملفات تعريف DLP

ملفات تعريف DLP المتعلقة بالحدث

فئة حماية DNS

نوع حماية DNS لـ Cato الذي تطابق مع طلب DNS

استعلام DNS

النطاق المستعلم فيه طلب DNS

اسم المجال

SSL SNI، اسم مضيف HTTP، اسم DNS

المدة بالس

المدة الزمنية بالميللي ثانية بين بداية ونهاية معاملة أو عملية. على سبيل المثال، في أحداث DNS أو HTTP، يعكس هذا الوقت بين الطلب والاستجابة المقابلة.

لأنواع الأحداث الفرعية لـ DNS

اسم PoP للخروج

اسم PoP الذي تخرج منه الترافيك، كما هو محدد في قاعدة شبكة باستخدام التكوين NAT أو Route via

يُعرض الحقل فقط عند خروج الترافيك من PoP غير المتصل بالموقع

موقع الإخراج

اسم موقع egress لنقل الترافيك

عدد الأحداث

عدد الأحداث التي تتكرر مرات متعددة في دقيقة واحدة

رسالة الحدث

وصف Cato للحدث

إجراء تجاهل مسار BGP:

• عدد كبير جدًا من الطرق - تجاوز الحد الأقصى المسموح به من مسارات BGP. أي طرق بعد الرقم 1024 يتم تجاهلها.

• تصادم المسار - تم تجاهل مسار BGP لأنه تصادم مع نطاق BGP الذي يمنعه Cato.

• طريق بطول صفر - تم تجاهل الطريق الافتراضي (0.0.0.0/0).

نوع الحدث

نوع الحدث: الاتصال، الأمان، التوجيه، النظام، إدارة المقابس، أو الكشف والاستجابة

تجزئة الملف

بالنسبة لحوادث مكافحة البرامج الضارة، تجزئة الملف ذي الصلة

اسم_الملف

اسم الملف ذو الصلة

ملاحظة: إذا لم يتمكن PoP من التقاط الاسم الفعلي للملف في وقت الاكتشاف، فإنه يستخدم الجزء الأخير من عنوان URL كاسم الملف، مثل تنزيل

حجم_الملف

الحجم (بالبايت) للملف ذو الصلة

نوع_الملف

نوع محتوى الملف (مثل الأرشيف أو Microsoft Office)

بالنسبة لقواعد التحكم في الملفات، فإن form_data هي تمثيل عام للبيانات المقدمة من خلال نموذج ويب، حيث يتم استخدامها عادة في طلبات HTTP (مثل إرسال النموذج المتعدد الأجزاء). إنه لا يشير إلى نوع ملف مميز.

الكاردينالية للتدفقات

عدد التدفقات لحادث معين

عنوان URL للمسار الكامل

عنوان URL للمسار الكامل لنشاط التطبيق. التحكم في التطبيقات يجب تفعيله ليظهر هذا الحقل في أحداث أمان التطبيقات.

عنوان IP للمضيف

عنوان IP للمضيف المرتبط بالحدث

عنوان MAC للمضيف

عنوان MAC للمضيف لهذا الحدث

رمز استجابة HTTP

رمز حالة HTTP الذي تم إرجاعه (مثلًا لطلب DNS، خادم DNS-over-HTTPS (DoH) عند استخدام DoH)

بالنسبة لأنواع الأحداث الفرعية لأمان التطبيقات وDNS

بروتوكول IP

بروتوكول الشبكة لهذا الحدث

اسم مزود الخدمة

مزود خدمة الإنترنت (ISP) المستخدم لهذا الحدث

عندما لا يوفر عنوان IP من قبل ISP، فإن رسالة الحدث تكون عناوين IP يتم تحديدها بشكل ثابت

ملاحظة: للمواقع التي تحتوي على واجهات WAN متعددة نشطة تستخدم مزودي خدمة إنترنت مختلفين، قد لا يكون قيمة اسم ISP دقيقة لأن الواجهات يمكن أن تتغير على مدى عمر تدفق الحركة

صحة الرابط مزدحم

بيانات تقيس الازدحام لرابط محدد

صحة الرابط اضطراب

بيانات تقيس الاضطراب لرابط محدد

صحة الرابط تأخير

بيانات تقيس التأخير لرابط محدد

صحة الرابط فقدان الحزم

بيانات تقيس فقدان الحزم لرابط محدد

نوع الرابط

نوع الرابط لهذا الاتصال، على سبيل المثال: كاتو، أو بديل. الشبكة الواسعة

نوع تسجيل الدخول

إجراء تسجيل الدخول، القيم هي: تسجيل دخول المشرف أو عميل VPN (وصول عن بُعد أو حركة مرور الموقع)

البيانات التي تم مطابقتها

أنواع بيانات DLP المتطابقة المرتبطة بالحدث

حقول هجوم Mitre

بالنسبة لأحداث IPS ذات الصلة، يعرض البيانات استنادًا إلى قاعدة معارف Mitre Att&ck الشاملة للخصوم السيبرانيين

• تقنيات الهجوم الفرعية mitre

• تكتيكات الهجوم mitre

• تقنيات الهجوم mitre

خطأ NAT

يشير إلى سبب مشاكل الاتصال المتعلقة بـ NAT

قاعدة الشبكة

اسم قاعدة الشبكة المطابقة للحركة في هذا الحدث

قيمة 0 تشير إلى أن التدفق واجه مشاكل فساد الحزم، أو كان تدفق نظام مثل الوصول إلى واجهة ويب Socket

وضع المكتب

يشير إلى ما إذا كان وضع المكتب مفعل لهذا المستخدم

معرف OnPrem SID

معرف فريد مُخصص لكائن مستخدم في دليل Azure النشط التابع لمايكروسوفت (Azure AD)، يستخدم لتحديد وإدارة المستخدم عبر خدمات Azure المختلفة

نوع نظام التشغيل

نوع نظام التشغيل المضيف، أو جهاز النفق

إصدار نظام التشغيل

رقم إصدار نظام التشغيل المضيف، أو جهاز النفق

اسم PoP

اسم موقع PoP المتصل بهذا الحدث

عنوان IP للمصدر العام

عنوان IP العام الذي تم تخصيصه بواسطة PoP الذي جرى خروج حركة المرور منه. بالنسبة للمواقع التي تستخدم ترحيل حركة مرور الإنترنت كأسلوب التوجيه، يُظهر هذا الحقل عنوان IP المحلي للنطاق الأصلي للموقع.

لا يتم عرض الحقل للحركة التي لا تخرج من PoP إلى الإنترنت، مثل طلبات DNS الداخلية وحركة FTP.

أولوية QoS

قيمة أولوية QoS المحددة في قاعدة الشبكة المتطابقة مع الحركة

الوقت المبلغ عنه لـ QoS

بالنسبة لـ QoS، الوقت الذي بدأ فيه حدث QoS هذا. يتم إنشاء الحدث عند انتهاء حدث QoS.

أنواع السجلات

نوع الاستعلام (مثل: استعلام DNS: A، AAAA، MX، أو PTR)

بالنسبة لأنواع الأحداث الفرعية لأمان التطبيقات وDNS

رمز التسجيل

رمز التسجيل المستخدم في المرة الأولى التي يقوم فيها مستخدم ZTNA بالتوثيق (الرمز مبهم جزئيًا)

التطبيقات ذات الصلة

قائمة بالتطبيقات التي تم تحديدها في تدفق الحركة لهذا الحدث، كجزء من عملية تحديد الهوية.

تحلل هذه العملية الحركة في مراحل مختلفة من التدفق، تجمع المعلومات حول جميع البروتوكولات والخدمات والتطبيقات لاتخاذ قرار نهائي دقيق بشأن التطبيق. يوفر هذا الحقل سياقًا لتحديد التطبيقات من خلال إظهار التطبيقات المُحددة خلال مراحل العملية.

طريقة الطلب

طريقة طلب HTTP (أي الحصول، النشر)

حجم الطلب

حجم حزمة الطلب بالبايتات (مثال: حزمة طلب DNS)

بالنسبة لأنواع الأحداث الفرعية لأمان التطبيقات وDNS

حجم الاستجابة

حجم حزمة الاستجابة بالبايت (مثل حزمة استجابة DNS)

بالنسبة لأنواع الأحداث الفرعية لأمان التطبيقات وDNS

مستوى المخاطر

حدث IPS يشير إلى التأثير الكلي للتهديد على المضيف أو الشبكة:

مستوى الخطر منخفض – يشكل خطرًا قليلاً للشبكة، مثل برامج الإعلانات المتسللة

مستوى الخطر متوسط – خطر متوسط على الشبكة، مثل عمليات مسح الشبكة

مستوى الخطر عالي – خطر كبير على الشبكة، مثل برامج التجسس أو الديدان

قَاعِدَةٌ

اسم قَاعِدَة الجدار الناري المطابقة للترافيك في هذا الحدث

معرف القاعدة

معرف Cato الفريد لقاعدة الأمان المتعلقة بالحدث

اسم حساب SAM

اسم تسجيل الدخول المستخدم في إصدارات ويندوز قبل عام 2000، مستخدم داخل مديرية نشاط ويندوز

الأهمية

الشدة المحددة للقاعدة الأمنية

نطاق المشاركة

خيارات المشاركة للملف (مثل SharePoint)

معرف التوقيع

بالنسبة لأحداث IPS وSAM، معرف توقيع IPS

معرف واجهة المقبس

معرف Cato الفريد لواجهة المقبس

اسم واجهة المقبس

الاسم في تطبيق إدارة Cato لمنفذ المقبس (الواجهة)

إصدار مقبس جديد

بالنسبة لأحداث ترقية المقبس، رقم الإصدار للنسخة الجديدة

إصدار قديم للمقبس

بالنسبة لأحداث ترقية المقبس، رقم الإصدار للنسخة السابقة

إعادة تعيين المقبس

بالنسبة لأحداث إعادة ضبط المقبس، يشير إلى إعادة ضبط الأجهزة أو البرمجيات

دور المقبس

بالنسبة لأحداث توفر عالي للمقبس، يشير إذا كان المقبس أساسيًا أو ثانويًا

بلد المصدر

بالنسبة للعميل والمواقع، الموقع الفيزيائي لعناوين IP العامة الموجودة خارج النفق (تم اكتشافها عبر العموميات IP)

رمز دولة المصدر

رمز الدولة التي يقع فيها المضيف المصدر (تم اكتشافه عبر الملاذات IP العامة)

المصدر IP

عنوان IP الذي تعيّنه Cato للمضيف أو العميل

عنوان IP لمزود خدمة الإنترنت المصدر

عنوان IP للمزود ISP الذي يقع خارج النفق الذي يربط سحابة Cato

المصدر موقع أو مستخدم SDP

بالنسبة لترافيك WAN، نوع المصدر: موقع أو مستخدم SDP

مصدر

بالنسبة لكل الترافيك، اسم موقع المصدر أو مستخدم SDP

منفذ المصدر

رقم المنفذ الداخلي للعميل، الموقع، أو المضيف للاتصال الشبكي

الموقع المصدر

بالنسبة لكل الترافيك، اسم موقع المصدر أو مستخدم SDP

اسم الشبكة الفرعية

اسم الشبكة الفرعية الذي تم تعريفه في تطبيق إدارة Cato

نوع فرعي

نوع فرعي لحدث من نوع ما مثل جدار حماية الإنترنت، نشاط SDP، أمان التطبيقات

كاردينالية الأهداف

عدد الأهداف (الخوادم) المرتبطة بهذا الحدث

تسريع TCP

يظهر إذا كان الترافيك في الحدث تم تسريع TCP. القيم هي 1 (تم التسريع) و0 (غير مسرع)

يظهر الحقل فقط لتدفقات الترافيك المستندة إلى TCP

اسم التهديد

بالنسبة لأحداث مكافحة البرامج الضارة، اسم البرامج الضارة

بالنسبة لأحداث IPS، يشرح سبب حجب الترافيك

مرجع التهديد

رابط لقاعدة بيانات تهديدات مكافحة البرامج الضارة للملف المشتبه به

نوع التهديد

نوع حدث البرامج الضارة

حكم التهديد

نتيجة فحص مكافحة البرامج الضارة

• تجاوز حسب الحجم - لا يمكن فحص الملف لأنه كبير جدًا

• تجاوز حسب الحجم الأدنى - لا يمكن فحص الملف لأنه صغير جدًا

• نظيف - تم فحص الملف ولم يتم اكتشاف تهديد

• مشفّر - لا يمكن فحص الملف لأنه مشفّر

• تطابق - تطابق مع قاعدة مكافحة البرامج الضارة

• بدون فحص - لا يمكن فحص الملف لأنه لا يوجد محتوى في الملف لفحصه

• لم يتم فحص المطابقة المحتوى - لم يتم فحص الملف للتطابق مع قاعدة حماية البيانات (DLP)

• مشتبه به - تم فحص الملف، واستناداً إلى التحليل، تم اعتباره موضع شبه

• virus_found - تم فحص الملف، والحكم النهائي غير آمن

الوقت

علامة الوقت لهذا الحدث (تنسيق Linux epoch)

وصف خطأ TLS

توضيح لخطأ TLS في هذا الحدث، القيم هي:

إغلاق الإخطار، رسالة غير متوقعة، سجل mac سيء، فشل فك الضغط، فشل المصافحة، لا شهادة، شهادة سيئة، شهادة غير مدعومة، شهادة ملغاة، شهادة منتهية الصلاحية، شهادة مجهولة، معلمة غير قانونية، فشل فك التشفير، تجاوز السجل، معتمد غير معروف، الدخول مرفوض، خطأ فك الشفرة، خطأ فك التشفير، تقييد التصدير، إصدار البروتوكول، أمان غير كافٍ، خطأ داخلي، المستخدم ألغى، لا إعادة تفاوض، هوية PSK غير المعروفة، غير معروف

لشرح هذه الأخطاء، انظر إلى هذا الوثيقة

نوع خطأ TLS

نوع خطأ TLS لهذا الحدث، القيم هي:

• تحذير - بشكل عام، يمكن أن تستمر الاتصال بشكل طبيعي، لكن يمكن للطرف المستقبل اختيار إغلاق الاتصال.

• قاتل - يغلق عادةً اتصال TLS. على سبيل المثال، الشبكة مشغولة، أو إسقاط الحزمة

• غير معروف - يمكن أن يستمر الاتصال بشكل طبيعي. جزء من اتصال TLS غير معروف، مثل الشهادة_غير معروفة

فحص بروتوكول TLS

يظهر إذا كان الترافيك في الحدث TLS. القيم هي 1 (تم الفحص) و0 (غير مفحوص)

يظهر الحقل فقط لتدفقات الترافيك المستندة إلى TLS

اسم قاعدة TLS

عندما يكون الترافيك في الحدث تم فحصه بـ TLS، يظهر هذا الحقل اسم القاعدة المطابقة للترافيك (فقط عندما يطابق الترافيك قاعدة أخرى غير القواعد الافتراضية)

إصدار TLS

رقم إصدار البروتوكول TLS لهذا الحدث

اتجاه الترافيك

اتجاه الترافيك الشبكي لهذا الحدث، القيم إما وارد أو صادر

حجم المعاملة

إجمالي حجم المعاملة بالبايت، بما في ذلك كلا الطلب والاستجابة

بالنسبة لأنواع الأحداث الفرعية لأمان التطبيقات وDNS

بروتوكول النفق

بروتوكول لاتصال النفق

وقت انتهاء الترقية

وقت انتهاء ترقية المقبس (تنسيق Linux epoch)

الترقية بدأت بواسطة

تشير إذا حدثت ترقية المقبس خلال نافذة الصيانة أو بدأها الدعم (القيمة هي Admin Cato)

وقت بدء الترقية

وقت بدء ترقية المقبس (تنسيق Linux epoch)

رابط URL

بالنسبة لترافيك الإنترنت، URL للحدث

وكيل المستخدم

وكيل المستخدم المستخدم في تسجيل الدخول كما يظهر في حقل وكيل المستخدم في ترويسة HTTP للترافيك. لا يمتلئ هذا الحقل إلا عندما يتم استخراج القيمة الخاصة به من طلبات HTTP، والتي تحدث حاليًا في الحالات التالية:

• أحداث IPS عند حدوث فحص TLS

• أحداث التحكم بالتطبيق

• أحداث تتعلق بقصص الأمان في XDR

هذه أمثلة على قيم وكيل المستخدم:

• Chrome/90.0.4430.212

• Safari/537.36

• Mozilla/5.0 (Windows NT 10.0; Win64; x64)

طريقة وعي المستخدم

طريقة المستخدمة لاكتساب الهوية مع وعي المستخدم (مثل وكيل الهوية)

بريد الإلكتروني للمستخدم

عنوان البريد الإلكتروني للمستخدم

اسم المستخدم

المستخدم الذي أنشأ الحدث

معرف الكائن المستخدم

معرف فريد مخصص لكائن المستخدم داخل دليل Azure Active، ويستخدم لتمييز وإدارة حسابات المستخدمين

الاسم الرئيسي للمستخدم

اسم تسجيل الدخول لمستخدم في بيئة Active Directory من Microsoft، مُنسّق كعنوان بريد إلكتروني (مثل user@domain.com)، ويستخدم لأغراض تسجيل الدخول

معرف المرجع للمستخدم

لمرجعية الصفحة المحظورة/المنبثقة، من أجل الإبلاغ عن الفئة غير الصحيحة

SID المستخدم

معرف فريد مخصص لكل مستخدم على نظام جهاز Windows لإدارة الأذونات وحقوق الوصول

اسم مجال Windows

لأحداث مزامنة LDAP، اسم نطاق AD

XFF

يُشير رأس HTTP XFF إلى عنوان IP الأصلي للاتصالات

فئة العميل

الكلمة المفتاحية

نوع تطبيقات العميل التي تعمل على نظام التشغيل الذي أنشأ تدفق الشبكة هذا (على سبيل المثال، Chrome)

الكاردينالية للتدفقات

رقم

عدد تدفقات الشبكة التي أدرجت في هذا الحادث الأمني

تجميع الحوادث

رقم

قيمة صحيحة/خاطئة تشير إلى ما إذا كان هذا الحدث:

• ملخص يجمع عدة أحداث (صحيح)

• تدفقات شبكة خام لحدث واحد (خطأ)

معرف الحادث

الكلمة المفتاحية

معرف يحدد هذا الحادث الأمني. يمكنك استخدام هذا المعرف لمتابعة المزيد من المعلومات مع فريق MDR.

كاردينالية الأهداف

رقم

عدد الخوادم التي أدرجت في هذا الحادث الأمني

فئات الجهاز

الفئات العامة التي ينتمي إليها الجهاز المتعلق بالحدث

معرف الجهاز

معرف Cato فريد للجهاز المتعلق بالحدث

الشركة المصنعة للجهاز

الشركة المصنعة للجهاز المتعلق بالحدث

نموذج الجهاز

اسم نموذج الجهاز المتعلق بالحدث

نوع نظام تشغيل الجهاز

نظام التشغيل على الجهاز المتعلق بالحدث

نوع الجهاز

نوع معين من الجهاز المتعلق بالحدث. من الممكن أن يتضمن نوع الجهاز نماذج مختلفة متعددة