Comprendre les champs d'événements (OBSOLÈTE)

Action

Action pertinente pour le type d'événement, par exemple :

• BGP - ignorer la route BGP, voir Message d'Événement ci-dessous pour plus d'informations.

• Pare-feu - l'action de la règle appliquée pour cet événement, seules les règles avec le paramètre Suivi activé génèrent des Événements.

  • Autoriser - le trafic est autorisé et un événement n'est pas généré (comportement par défaut)

  • Surveiller - le trafic est autorisé et un événement est généré

• IPS - pour les clients utilisant SAM, les événements générés ont l'action Surveiller.

• Sous-type de qualité du dernier kilomètre - les règles de santé des liens génèrent des événements avec l'action Alerte.

• QOS - Alerte ou Effacer l'Alerte

• Inspection TLS - Une action d'alerte est générée pour des cas comme un certificat inconnu ou une CA non fiable

Nom Active Directory

Nom de la Sensibilisation de l'Utilisateur Active Directory associé à l'appareil derrière une prise

Nom de la Clé API

Nom défini pour la Clé API publique dans l'Application de gestion Cato

Application

Applications utilisées dans les différentes politiques, par exemple : Facebook, CNN

Type d'authentification

Méthode d'Authentification liée à cet événement, par exemple : MFA ou mot de passe

ASN de Cato BGP

L'ASN BGP pour le pair BGP Cato (connexion locale)

IP BGP de Cato

L'adresse IP BGP pour le pair BGP Cato (connexion locale)

Code d'erreur BGP

Message d'erreur pour l'événement de déconnexion BGP

ASN du pair BGP

L'ASN BGP pour le pair BGP (connexion distante)

Description du pair BGP

Pour les événements BGP, description du voisin BGP depuis l'Application de gestion Cato

Adresse IP du pair BGP

L'adresse IP BGP pour le pair BGP (connexion distante)

Route CIDR BGP

Le CIDR pour la route BGP

Code de sous-erreur BGP

Message d'erreur lié à l'événement de déconnexion BGP

Catégorie

Catégories Cato système par défaut

Nom de l'application Cato

Données de l'application liées à ce flux de trafic

Date d'expiration du certificat

Date d'expiration du certificat Client

Classe Client

Type de processus générant ce trafic

Version du client

Numéro de version pour le Socket ou Client Cato

Collaborateurs

Pour l'API de sécurité SaaS, adresses e-mail des utilisateurs ayant reçu le fichier

Nom de l'hôte configuré

Nom configuré dans l'Application de gestion Cato pour un hôte avec une adresse IP statique

Algorithme de Congestion

L'algorithme de contrôle de congestion TCP pour le trafic dans l'événement. Valeurs possibles : CUBIC, NewReno, BBR

Nom du connecteur

Pour l'API de sécurité SaaS, nom du connecteur

Type de connecteur

Pour l'API de sécurité SaaS, application SaaS pour le connecteur

Gravité

Pour les événements XDR, 0 (aucun risque/impact) à 10 (risque/impact très élevé)

Catégories personnalisées

Les Catégories Personnalisées pour votre compte (Ressources > Catégories)

Pays de destination

Pour le trafic Internet, emplacement basé sur l'adresse IP du serveur de destination

Code Pays de Destination

Pour le trafic Internet, le code pays à deux lettres où l'hôte de destination est situé (basé sur ISO 3166-1 alpha-2)

IP de destination

Pour le trafic Internet, adresse IP du serveur de destination

La destination est Site ou Utilisateur SDP

Pour le trafic WAN, type de destination : site ou utilisateur SDP

Port Destination

Pour le trafic Internet, numéro de port pour le serveur de destination

Site de destination

Pour le trafic WAN, le nom du site de destination ou de l'utilisateur SDP

Nom de l'Appareil

Nom de l'hôte connecté à l'événement

Profils de posture d'appareil

Profils correspondant à cet événement

Nom de l'Hôte du Répertoire

Pour les événements LDAP, le nom de l'hôte

IP de l'annuaire

Pour les événements LDAP, adresse IP du Contrôleur de Domaine

Résultat de la synchronisation de l'annuaire

Pour les événements LDAP, résultat de la synchro avec le Contrôleur de Domaine

Type de Synchronisation du Répertoire

Événement LDAP généré car il y a eu une synchronisation avec le Contrôleur de Domaine

Nom d'Affichage

Le nom de l'utilisateur

Profils DLP

Profils DLP liés à l'événement

Catégorie de protection DNS

Type de Protection DNS de Cato qui a correspondu à la demande DNS

Requête DNS

Domaine consulté dans la demande DNS

Nom de domaine

SSL SNI, nom d'hôte HTTP, nom DNS

Durée en Ms

Durée en millisecondes entre le début et la fin d'une transaction ou opération. Par exemple, dans les événements DNS ou HTTP, cela reflète le temps entre la demande et la réponse correspondante.

Pour les sous-types d'événements DNS

Nom du PoP sortant

Nom du PoP d'où le trafic sort, tel que défini dans une Règle Réseau utilisant une configuration NAT ou Routage via

Le champ n'est affiché que lorsque le trafic sort d'un PoP autre que celui auquel le site est connecté

Site Sortant

Nom du site sortant pour le trafic de backhauling

Nombre d'Événements

Nombre pour les événements qui se répètent plusieurs fois en une minute

Message d'Événement

Description de l'événement de Cato

Pour l'action BGP route ignore :

• Trop de Routes - Dépassement du nombre maximum de routes BGP autorisées. Toutes les routes après le numéro de route 1024 sont ignorées.

• Collision de Route - La route BGP est ignorée car elle est entrée en collision avec une plage BGP que Cato bloque.

• Route Zéro Longueur - La route par défaut (0.0.0.0/0) a été ignorée.

Type d'Événement

Type d'événement : Connectivité, Sécurité, Routage, Système, Gestion des Prises, ou Détection et Réponse

Hachage du fichier

Pour les événements anti-malware, hachage du fichier pertinent

Nom du Fichier

Nom du fichier pertinent

Note : Si le PoP ne peut pas capturer le nom du fichier réel au moment de la détection, il utilise alors la dernière partie de l'URL pour le nom du fichier, tel que Téléchargement

Taille du Fichier

Taille (en octets) du fichier pertinent

Type de Fichier

Type de contenu du fichier (tel qu'Archive ou Microsoft Office)

Pour les règles de Contrôle de fichier, form_data est une représentation générique des données soumises via un formulaire web, couramment utilisées dans les requêtes HTTP (par exemple, soumissions de formulaire multipart). Cela n'indique pas un type de fichier distinct.

Cardinalité des flux

Nombre de flux pour un incident donné

URL complète du chemin

URL complète pour l'activité de l'application. Contrôle d'Application doit être activé pour que ce champ apparaisse dans les événements de Sécurité des applications.

Adresse IP de l'hôte

Adresse IP de l'hôte liée à l'événement

Adresse MAC de l'hôte

Adresse MAC de l'hôte pour cet événement

Code de Réponse HTTP

Code de statut HTTP retourné (par exemple pour une requête DNS, serveur DNS-over-HTTPS (DoH) lorsque DoH est utilisé)

Pour les sous-types d'événement de Sécurité des Applications et DNS

Protocole IP

Protocole réseau pour cet événement

Nom de l'ISP

L'ISP utilisé pour cet événement

Lorsqu'une adresse IP n'est pas fournie par le FAI, le message de l'événement est Les adresses IP sont assignées statiquement.

Note : Pour les sites avec plusieurs interfaces WAN actives utilisant différents ISP, la valeur Nom du FAI pourrait ne pas être exacte car les interfaces peuvent changer au cours de la durée de vie du flux de trafic.

La santé du lien est congestionnée

Données qui mesurent la congestion pour un lien spécifique

La santé du lien Gigue

Données qui mesurent la gigue pour un lien spécifique

La santé du lien Latence

Données qui mesurent la latence pour un lien spécifique

La santé du lien Perte de Paquets

Données qui mesurent la perte de paquets pour un lien spécifique

Type de lien

Type de lien pour cette connexion, par exemple : Cato, ou Alt. WAN

Type de connexion

Action de connexion, les valeurs sont : Connexion Admin ou Client VPN (accès distant ou trafic du site)

Types de données correspondantes

Types de données DLP correspondants liés à l'événement

Champs d'attaque Mitre

Pour les événements IPS pertinents, affiche les données basées sur la base de connaissances Mitre Att&ck complète des adversaires cybernétiques

• techniques de sous-attaque mitre

• tactiques d'attaque mitre

• Techniques d'Attaque Mitre

Erreur NAT

Indique la raison des problèmes de connectivité liés au NAT

Règle réseau

Nom de la Règle Réseau correspondante au trafic dans cet Événement

Une valeur de 0 indique que le flux a rencontré des problèmes de corruption de paquets ou était un flux système tel que l'accès à l'Interface Web du Socket.

Mode Bureau

Indique si le mode Office est activé pour cet utilisateur

OnPrem SID

Identifiant unique attribué à un objet utilisateur dans Azure Active Directory de Microsoft (Azure AD), utilisé pour identifier et gérer distinctement l'utilisateur dans divers services Azure.

Type de système d'exploitation

Type de système d'exploitation de l'hôte, ou appareil tunnel

Version du système d'exploitation

Numéro de version du système d'exploitation de l'hôte, ou appareil tunnel

Nom du PoP

Nom de l'emplacement PoP qui est connecté à cet Événement

IP source publique

L'adresse IP publique attribuée par le PoP d’où le trafic est sorti. Pour les sites utilisant Internet Traffic Backauling comme méthode de routage, ce champ affiche l'adresse IP locale de la plage native pour le site.

Le champ n'est pas affiché pour le trafic qui ne sort pas du PoP vers Internet, tel que les requêtes DNS internes et le trafic FTP.

Priorité QoS

La valeur de priorité QoS définie dans la Règle Réseau correspondante au Trafic

Temps Rapporté QoS

Pour QOS, l'heure à laquelle cet événement QOS a commencé. L'Événement est généré lorsque l'Événement QoS se termine.

Types d'enregistrement

Type de requête (c'est-à-dire requête DNS : A, AAAA, MX, ou PTR)

Pour les sous-types d'événement de Sécurité des Applications et DNS

Code d'Enregistrement

Code d'enregistrement utilisé la première fois qu'un utilisateur ZTNA authentifie (le code est partiellement obfusqué)

Applications associées

Une liste d'applications identifiées dans le flux de traffic pour cet événement, dans le cadre du processus d'identification des applications.

Ce processus analyse le Trafic à différentes étapes du flux, collectant des informations sur tous les Protocoles, Services et Applications pour déterminer avec précision l'application finale. Ce champ fournit le contexte pour l'identification de l'application en montrant les applications identifiées tout au long des étapes du processus.

Méthode de Requête

Méthode de requête HTTPS (c'est à dire GET, POST)

Taille de la requête

Taille du paquet de requête en octets (par exemple, paquet de requête DNS)

Pour les sous-types d'événement de Sécurité des Applications et DNS

Taille de Réponse

Taille du paquet de réponse en octets (c-à-d. paquet de réponse DNS)

Pour les sous-types d'événement de Sécurité des Applications et DNS

Niveau de Risque

Événement IPS indiquant l'impact global d'une menace pour l'hôte ou le réseau:

Niveau de risque faible – risque minimal pour le réseau, tel que les publicitaires

Niveau de risque moyen – risque moyen pour le réseau, tel que les analyses de réseau

Niveau de risque élevé – risque significatif pour le réseau, tel que les logiciels espions ou les vers

Règle

Nom de la règle de pare-feu correspondant au trafic dans cet événement

ID de la règle

ID Cato unique pour la règle de sécurité liée à l'événement

Nom du compte SAM

Nom de connexion utilisé dans les versions de Windows antérieures à Windows 2000, utilisé au sein d'un Active Directory Windows

Gravité

Gravité définie pour la règle de sécurité

Portée du Partage

Options de partage pour le fichier (tel que SharePoint)

ID de signature

Pour IPS et SAM, ID de la signature IPS

ID de l'interface de Socket

ID Cato unique pour l'interface de Socket

Nom de l'interface de Socket

Nom dans l'Application de gestion Cato pour le port de Socket (interface)

Nouvelle Version de Socket

Pour les événements de mise à niveau de Socket, le numéro de version pour la nouvelle version

Ancienne Version de Socket

Pour les événements de mise à niveau de Socket, numéro de version pour la version précédente

Réinitialisation de socket

Pour les événements de réinitialisation de Socket, indique une réinitialisation matérielle ou logicielle

Rôle de Socket

Pour les événements de haute disponibilité de Socket, indique si le Socket est primaire ou secondaire

Pays source

Pour les clients et les sites, l'emplacement physique de l'adresse IP publique qui est en dehors du tunnel (détecté via l'adresse IP publique)

Code du pays source

Code pays du pays où se trouve l'hôte source (détecté via l'adresse IP publique)

Adresse IP source

L'adresse IP que Cato attribue à l'hôte ou au Client

IP ISP source

L'adresse IP du fournisseur d'accès Internet qui est en dehors du tunnel connectant le Cloud Cato

La source est Site ou Utilisateur SDP

Pour le trafic WAN, type de source : site ou utilisateur SDP

Source

Pour tout le trafic, le nom du site source ou utilisateur SDP

Port source

Le numéro de port interne pour le Client, le site ou l'hôte pour la connexion réseau

Site source

Pour tout le trafic, le nom du site source ou utilisateur SDP

Nom du sous-réseau

Nom du sous-réseau défini dans l'Application de gestion Cato

Sous-Type

Sous-type pour un type d'événement, tel que Pare-feu Internet, Activité SDP, Sécurité des applications

Cardinalité des Cibles

Nombre de cibles (serveurs) associées à cet événement

Accélération TCP

Indique si le trafic dans l'événement était accéléré par TCP. Les valeurs sont 1 (accéléré) et 0 (non accéléré)

Le champ n'apparaît que pour les flux de trafic basés sur TCP

Nom de la Menace

Pour les événements anti-malware, nom des logiciels malveillants

Pour les événements IPS, explique la raison pour laquelle le trafic a été bloqué

Référence de la Menace

Lien vers la base de données des menaces anti-malware pour le fichier suspect

Type de Menace

Type d'événement lié aux logiciels malveillants

Verdict de la Menace

Résultat de l'analyse anti-malware

• Contourner par Taille - Impossible d'analyser le fichier car il est trop grand

• Contourner par Taille Min - Impossible d'analyser le fichier car il est trop petit

• Propre - Le fichier a été analysé et aucune menace n'a été détectée

• Chiffré - Impossible d'analyser le fichier car il est chiffré

• Correspondance - A correspond à la règle anti-malware

• Aucune analyse - Impossible d'analyser le fichier car il n'y a pas de contenu dans le fichier à analyser

• Non analysé pour Correspondance de Contenu - Fichier non analysé pour correspondre à une règle de Protection des Données (DLP)

• Suspect - Le fichier a été analysé et, sur la base de l'analyse, il a été considéré comme suspect

• virus_trouvé - Le fichier a été analysé, et le verdict est malveillant

Temps

Horodatage pour cet événement (format epoch Linux)

Description de l'Erreur TLS

Explication de l'erreur TLS dans cet événement, les valeurs sont :

fermer la notification, message inattendu, mauvais enregistrement mac, échec de la décompression, échec de la poignée de main, pas de certificat, mauvais certificat, certificat non supporté, certificat révoqué, certificat expiré, certificat inconnu, paramètre illégal, déchiffrement échoué, débordement de l'enregistrement, CA inconnu, accès refusé, erreur de décodage, erreur de décryptage, restriction d'exportation, version de protocole, sécurité insuffisante, erreur interne, utilisateur annulé, pas de renégociation, identité PSK inconnue, inconnue

Pour des explications de ces erreurs, voir ce document

Type d'erreur TLS

Le type d'erreur TLS pour cet événement, les valeurs sont :

• avertissement - En général, la connexion peut normalement continuer, cependant la partie réceptionnante pourrait choisir de fermer la connexion.

• fatal - Ferme généralement la connexion TLS. Par exemple, le réseau est occupé, ou un paquet est perdu

• inconnu - La connexion peut continuer normalement. Une partie de la connexion TLS est inconnue, telle que certificat_inconnu

Inspection TLS

Indique si le trafic dans l'événement était TLS. Les valeurs sont 1 (inspecté) et 0 (non inspecté)

Le champ apparaît uniquement pour les flux de trafic TLS

Nom de la règle TLS

Lorsque le trafic dans l'événement a été inspecté par TLS, ce champ montre le nom de la règle correspondante au trafic (uniquement lorsque le trafic correspond à une règle autre que les règles par défaut)

Version TLS

Numéro de version du protocole TLS pour cet événement

Direction du trafic

Direction du trafic réseau pour cet événement, les valeurs sont entrant ou sortant

Taille de la Transaction

Taille totale de la transaction en octets, incluant à la fois la demande et la réponse

Pour les sous-types d'événement de Sécurité des Applications et DNS

Protocole de tunnel

Protocole pour la connexion du tunnel

Heure de Fin de Mise à Niveau

Heure de fin de mise à niveau du Socket (format epoch Linux)

Mise à Niveau Initiée Par

Indique si la mise à niveau du Socket a eu lieu pendant la fenêtre de maintenance ou a été initiée par le Support (la valeur est Admin Cato)

Heure de Début de Mise à Niveau

Heure de début de mise à niveau du Socket (format epoch Linux)

URL

Pour le trafic Internet, URL pour l'événement

Agent utilisateur

L'agent utilisateur utilisé lors de la connexion tel qu'il apparaît dans le champ de l'Agent Utilisateur dans l'en-tête HTTP pour le trafic. Ce champ n'est rempli que lorsque le point de présence extrait sa valeur des requêtes HTTP, ce qui se produit actuellement dans les cas suivants :

• Événements IPS lorsque l'inspection TLS a lieu

• Événements de Contrôle d'Application

• Événements liés à des récits de sécurité dans XDR

Ce sont des exemples de valeurs d'agent utilisateur :

• Chrome/90.0.4430.212

• Safari/537.36

• Mozilla/5.0 (Windows NT 10.0; Win64; x64)

Méthode de Sensibilisation de l'Utilisateur

Méthode utilisée pour obtenir l'identité avec Sensibilisation de l'utilisateur (tel qu'Agent d'Identité)

Email de l'Utilisateur

Adresse e-mail pour l'utilisateur

Nom d'utilisateur

Utilisateur ayant généré l'événement

ID de l'Objet Utilisateur

Identifiant unique assigné à un objet utilisateur dans Azure Active Directory, utilisé pour identifier de manière distincte et gérer les comptes utilisateur

Nom principal de l'utilisateur

Nom de connexion pour un utilisateur dans un environnement Microsoft Active Directory, formaté comme une adresse e-mail (par exemple, utilisateur@domaine.com), utilisé pour la connexion

ID de Référence Utilisateur

Pour la page Bloquer/Inviter, ID de référence pour signaler la catégorie incorrecte

SID de l'Utilisateur

Identifiant unique attribué à chaque utilisateur sur un système de périphérique Windows pour gérer les autorisations et les droits d'accès

Nom de domaine Windows

Pour les événements de synchronisation LDAP, le nom du domaine AD

XFF

L'en-tête HTTP XFF indique l'adresse IP d'origine pour les connexions

Classe Client

mot-clé

Type d'applications clientes qui s'exécutent sur le système d'exploitation qui a créé ce flux de réseau (par exemple, Chrome)

Cardinalité des flux

nombre

Nombre de flux réseau inclus dans cet incident de sécurité

Agrégation d'Incident

nombre

Une valeur vrai/faux qui indique si cet événement est :

• Un résumé qui agrège de nombreux événements (vrai)

• Flux réseau bruts pour un seul événement (faux)

ID d'Incident

mot-clé

ID qui identifie cet incident de sécurité. Vous pouvez utiliser cet ID pour obtenir plus d'informations auprès de l'équipe MDR.

Cardinalité des Cibles

nombre

Nombre de serveurs inclus dans cet incident de sécurité

Catégories de l'Appareil

Catégories générales auxquelles l'appareil lié à l'événement appartient

ID de l'Appareil

Identifiant Cato unique pour l'appareil lié à l'événement

Fabricant de l'Appareil

Entreprise qui a fabriqué l'appareil lié à l'événement

Modèle de l'Appareil

Nom du modèle de l'appareil lié à l'événement

Type du système d'exploitation de l'appareil

Le système d'exploitation sur l'appareil lié à l'événement

Type d'Appareil

Type spécifique de l'appareil lié à l'événement. Il est possible que le Type d'Appareil inclue plusieurs modèles différents