Referenz zum EDR-Ereignisschema

Inhaltsverzeichnis

• Dateiaktivität
  • Zuordnungen der Aktivitäts-IDs
  • Zieldatei
  • Resultierende Datei
  • Akteurprozess
  • Beobachtbare Werte
  • Beispielabfragen
• Prozessaktivität
  • Zuordnungen der Aktivitäts-IDs
  • Zielprozess
  • Übergeordneter Zielprozess
  • Akteurprozess
  • Beispielabfragen
• Authentifizierung
  • Zuordnungen der Aktivitäts-IDs
  • Anmeldestatus
  • Akteurbenutzer
  • Zielbenutzer
  • Anmeldetyp
  • Authentifizierungsprotokoll
  • Beispielabfragen

Dateiaktivität

class_name = "File Activity" | class_uid = 1001

Ereignisse der Dateiaktivität werden immer dann erzeugt, wenn ein Prozess eine Dateisystemoperation ausführt — etwa das Erstellen, Schreiben, Löschen oder Umbenennen einer Datei.

Zuordnungen der Aktivitäts-IDs

Zieldatei (file.*)

Resultierende Datei (file_result.*)

Nach Umbenennungs- oder Kopiervorgängen vorhanden — beschreibt die Datei nach dem Vorgang.

Akteur — Auslösender Prozess (actor.process.*)

Werte von observables.name

Verwenden Sie dieses Feld als schnelle Filter-Kurzform:

observables.name = "File Write Event"

Beispielabfragen

In Temp geschriebene ausführbare Dateien durch beliebige Prozesse:

class_name = "File Activity" and activity_id = 8 and file.ext = "exe" and file.path contains "Temp"

Von PowerShell geschriebene Dateien:

class_name = "File Activity" and activity_id = 8 and actor.process.name = "powershell.exe"

Dateien mit doppelter Erweiterung (z. B. invoice.pdf.exe):

class_name = "File Activity" and file.name contains ".pdf.exe"

Von Skript-Engines in benutzerschreibbare Pfade abgelegte Dateien:

class_name = "File Activity" and activity_id = 6 and actor.process.name in "powershell.exe","wscript.exe","cscript.exe","mshta.exe" and file.path contains "AppData" 

Prozessaktivität

class_name = "Process Activity" | class_uid = 1007

Ereignisse der Prozessaktivität werden erzeugt, wenn ein Prozess gestartet wird, endet oder einer Injektions- oder Modul-Ladeoperation unterliegt. Dies ist die einzige Klasse, in der das Prozessobjekt auf oberster Ebene process.* (der Zielprozess) sich von actor.process.* (dem auslösenden Prozess) unterscheidet.

Kritische Unterscheidung: actor.process = der Prozess, der die Aktion ausgeführt hat (z. B. winword.exe startet cmd.exe). process = der Prozess, auf den eingewirkt wird (z. B. cmd.exe, der gerade gestartet wurde). Dies ist nur bei Ereignissen der Prozessaktivität gültig — in allen anderen Klassen ist process.* nicht vorhanden.

Zuordnungen der Aktivitäts-IDs

Zielprozess (process.*) — Kernfelder

Zielprozess — Dateimetadaten (process.file.*)

Übergeordneter Zielprozess (process.parent_process.*)

Akteur — Auslösender Prozess (actor.process.*)

Gleiche Struktur wie beschrieben unter Dateiaktivität > Akteurprozess. In allen Ereignisklassen vorhanden.

Beispielabfragen

Gestartete PowerShell mit Ausführung als SYSTEM:

class_name = "Process Activity" and activity_id = 1 and process.name = "powershell.exe" and process.user.type_id = 3

Von Word gestartete cmd.exe (Makroausführung):

class_name = "Process Activity" and activity_id = 1 and process.name = "cmd.exe" and actor.process.name = "winword.exe"

lsass.exe als übergeordneter Prozess (Zugriff auf Anmeldedaten per Prozessinjektion):

class_name = "Process Activity" and activity_id = 1 and process.parent_process.name = "lsass.exe"

Aus Temp-Verzeichnissen gestartete Prozesse:

class_name = "Process Activity" and activity_id = 1 and process.file.path contains "Temp"

Skript-Engine startet Netzwerkwerkzeug (Double-Hop):

class_name = "Process Activity" and activity_id = 1 and process.name in "curl.exe","wget.exe","certutil.exe","bitsadmin.exe" and actor.process.name in "powershell.exe","wscript.exe","cscript.exe","mshta.exe" 

Authentifizierung

class_name = "Authentication" | class_uid = 3002

Authentifizierungsereignisse erfassen Anmeldeaktivitäten auf dem Endpunkt — sowohl interaktive als auch Netzwerkanmeldungen. Diese Ereignisse sind essenziell für die Erkennung von Brute-Force-Angriffen, Missbrauch von Anmeldedaten, lateraler Bewegung und Rechteausweitung über den Kontokontext.

Zuordnungen der Aktivitäts-IDs

Anmeldestatus

Akteurbenutzer — Wer die Anmeldung initiiert hat (actor.user.*)

Zielbenutzer — Wer authentifiziert wurde (user.*)

Anmeldetyp

Referenz der Anmeldetyp-IDs

Authentifizierungsprotokoll

Referenz der Authentifizierungsprotokoll-IDs

Sitzung & Quelle

Beispielabfragen

Fehlgeschlagene Anmeldungen eines bestimmten Benutzers:

class_name = "Authentication" and status_id = 2 and actor.user.name = "administrator"

Alle fehlgeschlagenen Anmeldungen (Brute-Force-Suche):

class_name = "Authentication" and status_id = 2

Erfolgreiche Anmeldungen von einer unerwarteten Quell-IP:

class_name = "Authentication" and status_id = 1 and src_endpoint.ip != "10.0.0.0"

Anmeldungen von Systemkonten:

class_name = "Authentication" and status_id = 1 and user.type_id = 3

Remote-Anmeldesitzungen:

class_name = "Authentication" and is_remote = true

Anmeldungen vom Typ Dienst:

class_name = "Authentication" and logon_type_id = 5

Anmeldungen mit Kerberos-Authentifizierung:

class_name = "Authentication" and auth_protocol_id = 2