EDR 事件架构参考

目录

• 文件活动
  • 活动 ID 映射
  • 目标文件
  • 结果文件
  • 执行进程
  • 可观测项
  • 示例查询
• 进程活动
  • 活动 ID 映射
  • 目标进程
  • 目标父进程
  • 执行进程
  • 示例查询
• 认证
  • 活动 ID 映射
  • 登录状态
  • 执行用户
  • 目标用户
  • 登录类型
  • 认证协议
  • 示例查询

文件活动

class_name = "File Activity" | class_uid = 1001

当进程执行文件系统操作——创建、写入、删除或重命名文件时，会生成文件活动事件。

活动 ID 映射

目标文件 (file.*)

结果文件 (file_result.*)

重命名或复制操作后存在——描述操作后文件 之后 的文件。

执行者——启动进程 (actor.process.*)

observables.name 值

使用此字段作为快速过滤简写：

observables.name = "File Write Event"

示例查询

任何进程写入 Temp 的可执行文件：

class_name = "File Activity" and activity_id = 8 and file.ext = "exe" and file.path contains "Temp"

PowerShell 写入的文件：

class_name = "File Activity" and activity_id = 8 and actor.process.name = "powershell.exe"

双扩展名文件（例如，invoice.pdf.exe）：

class_name = "File Activity" and file.name contains ".pdf.exe"

脚本引擎在用户可写路径中投放的文件：

class_name = "File Activity" and activity_id = 6 and actor.process.name in "powershell.exe","wscript.exe","cscript.exe","mshta.exe" and file.path contains "AppData" 

进程活动

class_name = "Process Activity" | class_uid = 1007

当进程启动、终止，或受到注入或模块加载操作时，会生成进程活动事件。这是唯一一个顶级 process.* 对象（目标进程）与 actor.process.*（启动进程）不同的类。

关键区别： actor.process = 执行动作的进程（例如，winword.exe 启动 cmd.exe）。process = 被操作的进程（例如，刚启动的 cmd.exe）。这只 在进程活动 事件中有效——在其他所有类中，process.* 不存在。

活动 ID 映射

目标进程 (process.*) —— 核心字段

目标进程 — 文件元数据 (process.file.*)

目标父进程 (process.parent_process.*)

执行者——启动进程 (actor.process.*)

与 文件活动 > 行为进程中描述的结构相同。适用于所有事件类别。

示例查询

PowerShell 以 SYSTEM 身份启动：

class_name = "Process Activity" and activity_id = 1 and process.name = "powershell.exe" and process.user.type_id = 3

Word 生成的 cmd.exe（宏执行）：

class_name = "Process Activity" and activity_id = 1 and process.name = "cmd.exe" and actor.process.name = "winword.exe"

lsass.exe 作为父进程（通过进程注入访问凭证）：

class_name = "Process Activity" and activity_id = 1 and process.parent_process.name = "lsass.exe"

从临时目录启动的进程：

class_name = "Process Activity" and activity_id = 1 and process.file.path contains "Temp"

脚本引擎生成网络工具（双跳）：

class_name = "Process Activity" and activity_id = 1 and process.name in "curl.exe","wget.exe","certutil.exe","bitsadmin.exe" and actor.process.name in "powershell.exe","wscript.exe","cscript.exe","mshta.exe"

认证

class_name = "Authentication" | class_uid = 3002

身份验证事件捕获终端上的登录活动 — 包括交互式和网络登录。此类事件对于检测暴力破解攻击、凭证滥用、横向移动以及通过账户上下文进行权限提升至关重要。

活动 ID 映射

登录状态

行为用户 — 发起登录的人 (actor.user.*)

目标用户 — 被认证的用户 (user.*)

登录类型

登录类型 ID 参考

认证协议

认证协议 ID 参考

会话 & 来源

示例查询

特定用户的失败登录：

class_name = "Authentication" and status_id = 2 and actor.user.name = "administrator"

所有失败登录（暴力破解狩猎）：

class_name = "Authentication" and status_id = 2

来自意外源 IP 的成功登录：

class_name = "Authentication" and status_id = 1 and src_endpoint.ip != "10.0.0.0"

系统账号登录：

class_name = "Authentication" and status_id = 1 and user.type_id = 3

远程登录会话：

class_name = "Authentication" and is_remote = true

服务类型登录：

class_name = "Authentication" 且 logon_type_id = 5

使用 Kerberos 认证的登录：

class_name = "Authentication" 且 auth_protocol_id = 2