Ansichten:
CEF-Schlüssel
Beschreibung
Wert
Header (logVer)
CEF-Formatversion
CEF:0
Header (vendor)
Appliance-Hersteller
Trend Micro
Header (pname)
Appliance-Produkt
Apex Central
Header (pver)
Appliance-Version
2019
Header (eventid)
CnC:Aktion
CnC:Sperren
Header (eventName)
Name
CnC Callback
Header (severity)
Schweregrad
3
deviceExternalId
ID
Beispiel: 12
cat
Protokolltyp
Beispiel: 1756
deviceFacility
Produkt
Beispiel: Apex One
cs2Label
Entsprechende Bezeichnung für das Feld cs2
Beispiel: El_ProductVersion
cs2
Produktversion
Beispiel: 11.0
rt
Ereignisauslösezeit in UTC
Beispiel: 22. Mär 2018 08:23:23 GMT+00:00
shost
Hostname des Endpunkts
Beispiel: ApexOneClient01
src
IPv4-Adresse des Endpunkts
Beispiel: 10.201.86.187
c6a2Label
Entsprechende Bezeichnung für das Feld c6a2
Beispiel: SLF_ClientIP
c6a2
IPv6-Adresse des Endpunkts
Beispiel: 2620:101:4003:7a0:fd4b:52ed:53bd:ae3d
cs3Label
Entsprechende Bezeichnung für das Feld cs3
Beispiel: SLF_DomainName
cs3
Domänenname
Beispiel: DOMAIN1
cs4Label
Entsprechende Bezeichnung für das Feld cs4
Beispiel: SLF_PolicyName
cs4
Name der Richtlinie
Beispiel: C&C-Server-URL in Web-Reputation-Dienste-Datenbank - HTTP (Anforderung)
act
Aktion
Beispiel: Sperren
  • 0: Unbekannt
  • 1: Übergehen
  • 2: Sperren
  • 3: Überwachen
  • 4: Löschen
  • 5: Quarantäne
  • 6: Warnung senden
  • 7: Warnung senden und fortfahren
  • 8: Überschreiben
cn1Label
Entsprechende Bezeichnung für das Feld cn1
Beispiel: SLF_CCCA_RiskLevel
cn1
C&C-Risikostufe
Beispiel: 1
  • 0: SLF_CCCA_RISKLEVEL_UNKNOWN
  • 1: SLF_CCCA_RISKLEVEL_LOW
  • 2: SLF_CCCA_RISKLEVEL_MEDIUM
  • 3: SLF_CCCA_RISKLEVEL_HIGH
cn2Label
Entsprechende Bezeichnung für das Feld cn2
Beispiel: SLF_CCCA_DetectionSource
cn2
C&C-Listenquelle
Beispiel: 1
  • 0: SLF_CCCA_GLOBAL_LIST
  • 1: SLF_CCCA_CUSTOM_LIST
  • 2: SLF_CCCA_CUSTOM_LIST_USER_DEFINED
cn3Label
Entsprechende Bezeichnung für das Feld cn3
Beispiel: SLF_CCCA_DetectionFormat
cn3
Format der Callback-Adresse
Beispiel: 1
  • 0: IP
  • 1: IP
  • 2: HTTP
  • 3: SMTP
Anforderung
URL
Beispiel: http://CC13.jojo.com
deviceCustomDate1Label
Entsprechende Bezeichnung für das Feld deviceCustomDate1
Beispiel: SLF_FirstSeen
deviceCustomDate1
Die UTC-Zeit, zu der der Callback-Versuch erstmalig überwacht wurde
Beispiel: Okt 10 2017 16:58:03 GMT+00:00
deviceCustomDate2Label
Entsprechende Bezeichnung für das Feld deviceCustomDate2
Beispiel: SLF_LastSeen
deviceCustomDate2
Die UTC-Zeit, zu der der Callback-Versuch zuletzt überwacht wurde
Beispiel: Okt 11 2017 10:58:03 GMT+00:00
cs5Label
Entsprechende Bezeichnung für das Feld cs5
Beispiel: CnCDestination
cs5
Callback-URL-Adresse
Beispiel: http://CC13.jojo.com
dst
Callback-IPv4-Adresse
Beispiel: 10.201.86.195
c6a3Label
Entsprechende Bezeichnung für das Feld c6a3
Beispiel: CnCDestination
c6a3
Callback-IPv6-Adresse
Beispiel: fe80::38ca:cd15:443c:40bb%11
deviceProcessName
Prozessname
Beispiel: C:\\Programme (x86)\\Internet Explorer\\iexplore.exe
dvchost
Host-Name
Beispiel: "localhost"
deviceNtDomain
Active Directory-Domäne
Beispiel: APEXTMCM
dntdom
Apex One Domänenhierarchie
Beispiel: OSCEDomain1
TMCMLogDetectedHost
Endpunktname, an dem das Protokollereignis aufgetreten ist
Beispiel: Maschinenhostname
TMCMLogDetectedIP
IP-Adresse, bei der das Protokollereignis aufgetreten ist
Beispiel: 10.1.2.3
ApexCentralHost
Apex Central Host-Name
Beispiel: TW-CHRIS-W2019
devicePayloadId
Eindeutige Nachrichten-GUID
Beispiel: 1C00290C0360-9CDE11EB-D4B8-F51F-C697
Geräterichtung
Richtung des Netzwerkverkehrs
Beispiel: 0
Die Bedeutung des Wertes variiert je nach Wert des Feldes cat.
Wenn der Wert des Feldes cat 1756, 1707 oder 1733 ist:
  • 0: Unbekannt
  • 1: Eingehend
  • 2: Ausgehend
Wenn der Wert des Feldes cat 1739, 1741 oder 1723 ist:
  • 0: Ausgehend
  • 1: Eingehend
  • 2: Unbekannt
Wenn der Wert des Feldes cat 1705, 1735 oder 1775 ist:
  • -1: Unbekannt
  • 0: Ausgehende E-Mail
  • 1: Eingehende E-Mail
  • 2: Interne E-Mail
TMCMdevicePlatform
Endpunkt-Betriebssystem
Beispiel: Windows 7 6.1 (Build 7601) Service Pack 1
Protokollbeispiel:
CEF:0|Trend Micro|Apex Central|2019|CnC:Block|CnC Callback
|3|deviceExternalId=12 rt=Oct 11 2017 06:34:09 GMT+00:00 cat
=1756 deviceFacility=Apex One cs2Label=EI_ProductVersion cs2
=11.0 shost=ApexOneClient01 src=10.201.86.187 cs3Label=SLF_D
omainName cs3=DOMAIN act=Block cn1Label=SLF_CCCA_RiskLevel c
n1=1 cn2Label=SLF_CCCA_DetectionSource cn2=1 cn3Label=SLF_CC
CA_DestinationFormat cn3=1 dst=10.201.86.195 deviceProcessNa
me=C:\\Program Files (x86)\\Internet Explorer\\iexplore.exe 
deviceNtDomain=APEXTMCM dntdom=OSCEDomain1 dvchost=localhost
TMCMLogDetectedHost=ApexOneClient01 TMCMLogDetectedIP=10.201
.86.187 ApexCentralHost=TW-CHRIS-W2019 devicePayloadId=1C002
90C0360-9CDE11EB-D4B8-F51F-C697 deviceDirection=0 TMCMdevice
Platform=Windows 7 6.1 (Build 7601) Service Pack 1
Keywords: C&C-Callback