Have an account?

  •   Personalized content
  •   Your products and support

Need an account?

Create an account

Firepower eStreamer 集成指南 版本 6.3

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
Available Languages
Download Options

Book Title

Firepower eStreamer 集成指南 版本 6.3

Chapter Title

了解旧版数据结构

Results

Updated:
2022年3月22日

Chapter: 了解旧版数据结构

了解旧版数据结构

了解旧版数据结构

本附录包含之前版本的 Firepower 系统产品中受 eStreamer 支持的数据结构的相关信息。

如果您的客户端使用事件流请求并对比特位进行设置，以请求采用较旧版本格式的数据，您可以使用此附录中的信息识别您收到的数据消息的数据结构。

请注意，在版本 5.0 之前的版本中，ID 分配给单独的检测引擎。对于版本 5.0，ID 分配给设备。根据版本，数据结构可反映这一点。

注 此附录仅描述 Firepower 系统版本 4.9 及更高版本的数据结构。如果您需要有关较早数据结构版本的结构的文件，请联系Cisco客户支持。

有关详细信息，请参阅以下各节：

旧版入侵数据结构

入侵事件 (IPv4) 记录 5.0.x - 5.1

下图中的阴影部分表示入侵事件 (IPv4) 记录中的字段。记录类型为 207。

通过在请求消息中设置入侵事件标志或扩展请求标志可请求入侵事件记录。请参阅请求标志和提交扩展请求。

对于版本 5.0.x - 5.1 入侵事件，事件 ID、受管设备 ID 以及事件秒构成唯一标识符。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (207)（Record Type (207))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IPv4 地址

 

目的 IPv4 地址

 

源端口 (Source Port)

目标端口 (Destination Port)

 

IP 协议 ID (IP Protocol ID)

影响标志
(Impact Flags)

影响
(Impact)

已阻止
(Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-1 入侵事件 (IPv4) 记录字段

字段
数据类型
说明

设备 ID
(Device ID)

unit32

包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID
(Event ID)

uint32

事件标识号。

事件秒
(Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订
(Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IPv4 地址 (Source IPv4 Address)

uint8[4]

事件中使用的源 IPv4 地址，采用地址八位组。

目标 IPv4 地址 (Destination IPv4 Address)

uint8[4]

事件中使用的目标 IPv4 地址，采用地址八位组。

源端口
(Source Port)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号。

目标端口 (Destination Port)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01 （位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02 （位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08 （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10 （位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20 （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40 （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80 （位 7）- 有漏洞映射到事件中检测到的客户端。

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1 ：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX
  • 橙色（2，可能易受攻击）： 00X00111
  • 黄色（3，当前不易受攻击）： 00X00011
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 -（未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

入侵事件 (IPv6) 记录 5.0.x - 5.1

下图中的阴影部分表示入侵事件 (IPv6) 记录中的字段。记录类型为 208。

通过在请求消息中设置入侵事件标志或扩展请求标志可请求入侵事件记录。请参阅请求标志和提交扩展请求。

对于版本 5.0.x - 5.1 入侵事件，事件 ID、受管设备 ID 以及事件秒构成唯一标识符。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (208)（Record Type (208))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IPv6 地址 (Source IPv6 Address)

 

源 IPv6 地址 (Source IPv6 Address)（续）

 

源 IPv6 地址 (Source IPv6 Address)（续）

 

源 IPv6 地址 (Source IPv6 Address)（续）

 

目的 IPv6 地址 (Destination IPv6 Address)

 

目标 IPv6 地址 (Destination IPv6 Address)（续）

 

目标 IPv6 地址 (Destination IPv6 Address)（续）

 

目标 IPv6 地址 (Destination IPv6 Address)（续）

 

源端口/ICMP 类型
(Source Port/ICMP Type)

目标端口/ICMP 代码
(Destination Port/ICMP Code)

 

IP 协议 ID
(IP Protocol ID)

影响标志
(Impact Flags)

影响 (Impact)

已阻止 (Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-2 入侵事件 (IPv6) 记录字段

字段
数据类型
说明

设备 ID
(Device ID)

unit32

包含检测设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID
(Event ID)

uint32

事件标识号。

事件秒
(Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订
(Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IPv6 地址 (Source IPv6 Address)

uint8[16]

事件中使用的源 IPv6 地址，采用地址八位组。

目标 IPv6 地址 (Destination IPv6 Address)

uint8[16]

事件中使用的目标 IPv6 地址，采用地址八位组。

源端口/ICMP 类型 (Source Port/ICMP Type)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号。如果协议类型为 ICMP，则这表示 ICMP 类型。

目标端口/ICMP 代码 (Destination Port/ICMP Code)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号。如果协议类型为 ICMP，则这表示 ICMP 代码。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01 （位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02 （位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08 （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10 （位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20 （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40 （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80 （位 7）- 有漏洞映射到事件中检测到的客户端。

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1 ：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX
  • 橙色（2，可能易受攻击）： 00X00111
  • 黄色（3，当前不易受攻击）： 00X00011
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 -（未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。（仅适用于 4.9+ 事件。）

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。（仅适用于 4.9+ 事件。）

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

入侵事件记录 5.2.x

下图中的阴影部分表示入侵事件记录中的字段。在系列 2 数据块组中，记录类型为 400，块类型为 34。

您可以通过扩展请求，仅从 eStreamer 请求 5.2.x 入侵事件，为此，您需要在流请求消息中请求事件类型代码 12 和版本代码 5（有关提交扩展请求的信息，请参阅提交扩展请求）。

对于版本 5.2.x 入侵事件，事件 ID、受管设备 ID 以及事件秒构成唯一标识符。连接秒、连接实例以及连接计数器在一起构成与入侵事件相关的连接事件的唯一标识符。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (400) (Record Type (400))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

块类型 (34) (Block Type (34))

 

块长度 (Block Length)

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IP 地址 (Source IP Address)

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

 

 

 

 

目标 IP 地址 (Destination IP Address)

目标 IP 地址 (Destination IP Address)（续）


目标 IP 地址 (Destination IP Address)（续）

目标 IP 地址 (Destination IP Address)（续）

 

 

 

 

源端口或 ICMP 类型
(Source Port or ICMP Type)

目标端口或 ICMP 代码
(Destination Port or ICMP Code)

 

IP 协议 ID (IP Protocol ID)

影响标志
(Impact Flags)

影响 (Impact)

已阻止 (Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

连接时间戳 (Connection Timestamp)

 

连接实例 ID (Connection Instance ID)

连接计数器 (Connection Counter)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-3 入侵事件记录 5.2.x 字段

字段
数据类型
说明

块类型
(Block Type)

unint32

启动入侵事件数据块。值始终为 34 。

块长度
(Block Length)

unint32

入侵事件数据块中的字节总数，包括入侵事件块类型和长度字段的八个字节，加上随后的数据字节数。

设备 ID
(Device ID)

unit32

包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID
(Event ID)

uint32

事件标识号。

事件秒
(Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订 (Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IP 地址 (Source IP Address)

uint8[16]

事件中使用的源 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

事件中使用的目标 IPv4 或 IPv6 地址。

源端口或 ICMP 类型 (Source Port or ICMP Type)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 类型。

目标端口或 ICMP 代码 (Destination Port or ICMP Code)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 代码。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01 （位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02 （位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08 （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10 （位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20 （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40 （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80 （位 7）- 有漏洞映射到事件中检测到的客户端。
    （仅限版本 5.0+）

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX （仅限版本 5.0+）
  • 橙色（2，可能易受攻击）： 00X0011X
  • 黄色（3，当前不易受攻击）： 00X0001X
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 - （未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

连接时间戳 (Connection Timestamp)

uint32

与入侵事件关联的连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

连接实例 ID (Connection Instance ID)

uint16

生成连接事件的受管设备上 Snort 实例的数字 ID。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

入侵事件记录 5.3

下图中的阴影部分表示入侵事件记录中的字段。在系列 2 数据块组中，记录类型为 400，块类型为 41。

您可以通过扩展请求，仅从 eStreamer 请求 5.3 入侵事件，为此，您需要在流请求消息中请求事件类型代码 12 和版本代码 6（有关提交扩展请求的信息，请参阅提交扩展请求）。

对于版本 5.3 入侵事件，事件 ID、受管设备 ID 以及事件秒构成唯一标识符。连接秒、连接实例以及连接计数器在一起构成与入侵事件相关的连接事件的唯一标识符。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (400) (Record Type (400))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

块类型 (41) (Block Type (41))

 

块长度 (Block Length)

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IP 地址 (Source IP Address)

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

 

 

 

 

目标 IP 地址 (Destination IP Address)

目标 IP 地址 (Destination IP Address)（续）


目标 IP 地址 (Destination IP Address)（续）

目标 IP 地址 (Destination IP Address)（续）

 

 

 

 

源端口或 ICMP 类型
(Source Port or ICMP Type)

目标端口或 ICMP 代码
(Destination Port or ICMP Code)

 

IP 协议 ID (IP Protocol ID)

影响标志
(Impact Flags)

影响 (Impact)

已阻止 (Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

连接时间戳 (Connection Timestamp)

 

连接实例 ID (Connection Instance ID)

连接计数器 (Connection Counter)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

IOC 编号 (IOC Number)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-4 入侵事件记录 5.3 字段

字段
数据类型
说明

块类型
(Block Type)

unint32

启动入侵事件数据块。值始终为 34 。

块长度
(Block Length)

unint32

入侵事件数据块中的字节总数，包括入侵事件块类型和长度字段的八个字节，加上随后的数据字节数。

设备 ID
(Device ID)

unit32

包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID
(Event ID)

uint32

事件标识号。

事件秒
(Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订 (Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IP 地址 (Source IP Address)

uint8[16]

事件中使用的源 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

事件中使用的目标 IPv4 或 IPv6 地址。

源端口或 ICMP 类型 (Source Port or ICMP Type)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 类型。

目标端口或 ICMP 代码 (Destination Port or ICMP Code)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 代码。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01 （位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02 （位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08 （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10 （位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20 （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40 （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80 （位 7）- 有漏洞映射到事件中检测到的客户端。
    （仅限版本 5.0+）

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1 ：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX （仅限版本 5.0+）
  • 橙色（2，可能易受攻击）： 00X0011X
  • 黄色（3，当前不易受攻击）： 00X0001X
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 -（未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

连接时间戳 (Connection Timestamp)

uint32

与入侵事件关联的连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

连接实例 ID (Connection Instance ID)

uint16

生成连接事件的受管设备上 Snort 实例的数字 ID。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

IOC 编号 (IOC Number)

uint16

与此事件相关的危害的 ID 号码。

入侵事件记录 5.1.1.x

下图中的阴影部分表示入侵事件记录中的字段。记录类型为 400，块类型为 25。

您可以通过扩展请求，仅从 eStreamer 请求 5.1.1.x 入侵事件，为此，您需要在流请求消息中请求事件类型代码 12 和版本代码 4（有关提交扩展请求的信息，请参阅提交扩展请求）。

对于版本 5.1.1.x 入侵事件，事件 ID、受管设备 ID 以及事件秒构成唯一标识符。连接秒、连接实例以及连接计数器在一起构成与入侵事件相关的连接事件的唯一标识符。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (400) (Record Type (400))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

块类型 (25) (Block Type (25))

 

块长度 (Block Length)

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IP 地址 (Source IP Address)

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

 

 

 

 

目标 IP 地址 (Destination IP Address)

目标 IP 地址 (Destination IP Address)（续）


目标 IP 地址 (Destination IP Address)（续）

目标 IP 地址 (Destination IP Address)（续）

 

 

 

 

源端口/ICMP 类型
(Source Port/ICMP Type)

目标端口/ICMP 代码
(Destination Port/ICMP Code)

 

IP 协议 ID (IP Protocol ID)

影响标志
(Impact Flags)

影响 (Impact)

已阻止 (Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

连接时间戳 (Connection Timestamp)

 

连接实例 ID (Connection Instance ID)

连接计数器 (Connection Counter)

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-5 入侵事件记录 5.1.1 字段

字段
数据类型
说明

块类型

unint32

启动入侵事件数据块。值始终为 25 。

块长度 (Block Length)

unint32

入侵事件数据块中的字节总数，包括入侵事件块类型和长度字段的八个字节，加上随后的数据字节数。

设备 ID
(Device ID)

unit32

包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID
(Event ID)

uint32

事件标识号。

事件秒
(Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订 (Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IP 地址 (Source IP Address)

uint8[16]

事件中使用的源 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

事件中使用的目标 IPv4 或 IPv6 地址。

源端口/ICMP
类型 (Source Port/ICMP Type)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 类型。

目标端口/ICMP 代码 (Destination Port/ICMP Code)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 代码。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01 （位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02 （位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08 （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10 （位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20 （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40 （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80 （位 7）- 有漏洞映射到事件中检测到的客户端。

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1 ：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX
  • 橙色（2，可能易受攻击）： 00X00111
  • 黄色（3，当前不易受攻击）： 00X00011
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 - （未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

连接时间戳 (Connection Timestamp)

uint32

与入侵事件关联的连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

连接实例 ID (Connection Instance ID)

uint16

生成连接事件的受管设备上 Snort 实例的数字 ID。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

入侵事件记录 5.3.1

下图中的阴影部分表示入侵事件记录中的字段。在系列 2 数据块组中，记录类型为 400，
块类型为 42。

您可以通过扩展请求，仅从 eStreamer 请求 5.3.1 入侵事件，为此，您需要在流请求消息中请求事件类型代码 12 和版本代码 7（有关提交扩展请求的信息，请参阅提交扩展请求）。

对于版本 5.3.1 入侵事件，事件 ID、受管设备 ID 以及事件秒构成唯一标识符。连接秒、连接实例以及连接计数器在一起构成与入侵事件相关的连接事件的唯一标识符。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (400) (Record Type (400))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

块类型 (42) (Block Type (42))

 

块长度 (Block Length)

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IP 地址 (Source IP Address)

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

 

 

 

 

目标 IP 地址 (Destination IP Address)

目标 IP 地址 (Destination IP Address)（续）


目标 IP 地址 (Destination IP Address)（续）

目标 IP 地址 (Destination IP Address)（续）

 

 

 

 

源端口或 ICMP 类型
(Source Port or ICMP Type)

目标端口或 ICMP 代码
(Destination Port or ICMP Code)

 

IP 协议 ID (IP Protocol ID)

影响标志
(Impact Flags)

影响 (Impact)

已阻止 (Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

连接时间戳 (Connection Timestamp)

 

连接实例 ID (Connection Instance ID)

连接计数器 (Connection Counter)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

IOC 编号 (IOC Number)

安全情景 (Security Context)

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-6 入侵事件记录 5.3.1 字段

字段
数据类型
说明

块类型
(Block Type)

unint32

启动入侵事件数据块。值始终为 42。

块长度
(Block Length)

unint32

入侵事件数据块中的字节总数，包括入侵事件块类型和长度字段的八个字节，加上随后的数据的字节数。

设备 ID
(Device ID)

unit32

包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID (Event ID)

uint32

事件标识号。

事件秒 (Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订 (Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IP 地址 (Source IP Address)

uint8[16]

事件中使用的源 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

事件中使用的目标 IPv4 或 IPv6 地址。

源端口或 ICMP 类型 (Source Port or ICMP Type)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 类型。

目标端口或 ICMP 代码 (Destination Port or ICMP Code)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 代码。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01（位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02（位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08（位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10（位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20（位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40（位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80（位 7）- 有漏洞映射到事件中检测到的客户端。
    （仅限版本 5.0+）

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX （仅限版本 5.0+）
  • 橙色（2，可能易受攻击）： 00X0011X
  • 黄色（3，当前不易受攻击）： 00X0001X
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 -（未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

连接时间戳 (Connection Timestamp)

uint32

与入侵事件关联的连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

连接实例 ID (Connection Instance ID)

uint16

生成连接事件的受管设备上 Snort 实例的数字 ID。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

IOC 编号
(IOC Number)

uint16

与此事件相关的威胁的 ID 号码。

安全情景 (Security Context)

uint8(16)

流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，
系统仅对Firepower 系统情景模式下的 设备填充此字段。

入侵事件记录 5.4.x

下图中的阴影部分表示入侵事件记录中的字段。在系列 2 数据块组中，记录类型为 400，
块类型为 45。它替代了块类型 42，然后被块类型 60 替代。已添加用于 SSL 支持和网络分
析策略的字段。

您可以通过扩展请求，仅从 eStreamer 请求 5.4.x 入侵事件，为此，您需要在流请求消息中请求事件类型代码 12 和版本代码 8（有关提交扩展请求的信息，请参阅提交扩展请求）。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (400) (Record Type (400))

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

 

块类型 (45) (Block Type (45))

 

块长度 (Block Length)

 

设备 ID (Device ID)

 

事件 ID (Event ID)

 

事件秒 (Event Second)

 

事件微秒 (Event Microsecond)

 

规则 ID（签名 ID）(Rule ID (Signature ID))

 

生成器 ID (Generator ID)

 

规则修订 (Rule Revision)

 

分类 ID (Classification ID)

 

优先级 ID (Priority ID)

 

源 IP 地址 (Source IP Address)

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

源 IP 地址 (Source IP Address)（续）

 

 

 

 

目标 IP 地址 (Destination IP Address)

目标 IP 地址 (Destination IP Address)（续）


目标 IP 地址 (Destination IP Address)（续）

目标 IP 地址 (Destination IP Address)（续）

 

 

 

 

源端口或 ICMP 类型
(Source Port or ICMP Type)

目标端口或 ICMP 代码 (Destination Port or ICMP Code)

 

IP 协议 ID (IP Protocol ID)

影响标志
(Impact Flags)

影响 (Impact)

已阻止 (Blocked)

 

MPLS 标签 (MPLS Label)

 

VLAN ID

Pad

 

策略 UUID (Policy UUID)

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

策略 UUID (Policy UUID)（续）

 

用户 ID (User ID)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

应用协议 ID (Application Protocol ID)

 

访问控制规则 ID (Access Control Rule ID)

 

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

访问控制策略 UUID (Access Control Policy UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口入口 UUID (Interface Ingress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

接口出口 UUID (Interface Egress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区入口 UUID (Security Zone Ingress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

安全区出口 UUID (Security Zone Egress UUID)（续）

 

连接时间戳 (Connection Timestamp)

 

连接实例 ID (Connection Instance ID)

连接计数器 (Connection Counter)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

IOC 编号 (IOC Number)

安全情景 (Security Context)

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

SSL 证书指纹 (SSL Certificate Fingerprint)

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

SSL 实际操作 (SSL Actual Action)

 

SSL 流状态 (SSL Flow Status)

网络分析策略 UUID (Network Analysis Policy UUID)

 

网络分析策略 UUID (Network Analysis Policy UUID)（续）

 

网络分析策略 UUID (Network Analysis Policy UUID)（续）

 

网络分析策略 UUID (Network Analysis Policy UUID)（续）

 

网络分析策略 UUID (Network Analysis Policy UUID)（续）

 

下表对每个入侵事件记录数据字段进行了说明。

 

表 B-7 入侵事件记录 5.4.x 字段

字段
数据类型
说明

块类型
(Block Type)

unint32

启动入侵事件数据块。值始终为 45。

块长度
(Block Length)

unint32

入侵事件数据块中的字节总数，包括入侵事件块类型和长度字段的八个字节，加上随后的数据的字节数。

设备 ID
(Device ID)

unit32

包含检测受管设备的标识号。您可以通过请求版本 3 或 4 元数据获取受管设备名称。有关详细信息，请参阅受管设备记录元数据。

事件 ID (Event ID)

uint32

事件标识号。

事件秒
(Event Second)

uint32

事件检测的 UNIX 时间戳（自 1970/01/01 起经过的秒数）

事件微秒 (Event Microsecond)

uint32

事件检测的时间戳微秒（一秒的百万分之一）增量。

规则 ID（签名 ID）(Rule ID (Signature ID))

uint32

与事件对应的规则标识号。

生成器 ID (Generator ID)

uint32

生成事件的 Firepower 系统预处理器的标识号。

规则修订 (Rule Revision)

uint32

规则版本号。

分类 ID (Classification ID)

uint32

事件分类消息的标识号。

优先级 ID (Priority ID)

uint32

与事件相关的优先级的标识号。

源 IP 地址 (Source IP Address)

uint8[16]

事件中使用的源 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

事件中使用的目标 IPv4 或 IPv6 地址。

源端口或 ICMP 类型 (Source Port or ICMP Type)

uint16

如果事件协议类型是 TCP 或 UDP，则为源端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 类型。

目标端口或 ICMP 代码 (Destination Port or ICMP Code)

uint16

如果事件协议类型是 TCP 或 UDP，则为目标端口号，或者如果事件是由 ICMP 流量引起的，则为 ICMP 代码。

IP 协议号 (IP Protocol Number)

uint8

IANA 指定的协议号。例如：

  • 0 - IP
  • 1 - ICMP
  • 6 - TCP
  • 17 - UDP

影响标志
(Impact Flags)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01（位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02（位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08（位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10（位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20（位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40（位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80（位 7）- 有漏洞映射到事件中检测到的客户端。
    （仅限版本 5.0+）

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1：

  • 灰色（0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX （仅限版本 5.0+）
  • 橙色（2，可能易受攻击）： 00X0011X
  • 黄色（3，当前不易受攻击）： 00X0001X
  • 蓝色（4，未知目标）： 00X00001

影响 (Impact)

uint8

事件的影响标志值。其值如下：

  • 1 - 红色（易受攻击）
  • 2 - 橙色（可能易受攻击）
  • 3 - 黄色（目前不易受攻击）
  • 4 - 蓝色（未知目标）
  • 5 - 灰色（未知影响）

已阻止 (Blocked)

uint8

表示事件是否已被阻止的值。

  • 0 - 未被阻止
  • 1 - 已阻止
  • 2 - 将被阻止（但配置不允许）

MPLS 标签 (MPLS Label)

uint32

MPLS 标签。

VLAN ID

uint16

表示数据包起源的 VLAN 的 ID。

Pad

uint16

已保留供将来使用。

策略 UUID (Policy UUID)

uint8[16]

充当入侵策略的唯一标识符的策略 ID 号码。

用户 ID (User ID)

uint32

用户的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

Web 应用（如适用）的内部标别号。

客户端应用 ID (Client Application ID)

uint32

客户端应用（如适用）的内部标别号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

访问控制规则 ID (Access Control Rule ID)

uint32

充当访问控制规则的唯一标识符的规则 ID 号码。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

充当访问控制策略的唯一标识符的策略 ID 号码。

入口接口 UUID (Ingress Interface UUID)

uint8[16]

充当入口接口的唯一标识符的接口 ID 号码。

出口接口 UUID (Egress Interface UUID)

uint8[16]

充当出口接口的唯一标识符的接口 ID 号码。

入口安全区 UUID (Ingress Security Zone UUID)

uint8[16]

充当入口安全区的唯一标识符的区域 ID 号码。

出口安全区 UUID (Egress Security Zone UUID)

uint8[16]

充当出口安全区的唯一标识符的区域 ID 号码。

连接时间戳 (Connection Timestamp)

uint32

与入侵事件关联的连接事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

连接实例 ID (Connection Instance ID)

uint16

生成连接事件的受管设备上 Snort 实例的数字 ID。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

IOC 编号
(IOC Number)

uint16

与此事件相关的威胁的 ID 号码。

安全情景 (Security Context)

uint8[16]

流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，
系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。

SSL 证书指纹 (SSL Certificate Fingerprint)

uint8[20]

SSL 服务器证书的 SHA1 散列。

SSL 实际操作 (SSL Actual Action)

uint16

根据 SSL 规则对连接执行的操作。由于规则中指定的操作可能无法执行，此操作可能与预期操作不同。可能的值包括：

  • 0 -‘未知’
  • 1 -‘请勿解密’
  • 2 -‘阻止’
  • 3 -‘阻止并重置’
  • 4 -‘解密（已知密钥）’
  • 5 -‘解密（更换秘钥）’
  • 6 -‘解密（放弃）’

SSL 流状态 (SSL Flow Status)

uint16

SSL 流量的状态。这些值说明所执行的操作或所显示的错误消息背后的原因。可能的值包括：

  • 0 -‘未知’
  • 1 -‘不匹配’
  • 2 -‘成功’
  • 3 -‘非缓存会话’
  • 4 -‘未知密码套件’
  • 5 -‘不受支持的密码套件’
  • 6 -‘不受支持的 SSL 版本’
  • 7 -‘使用的 SSL 压缩’
  • 8 -‘在被动模式中无法解密的会话’
  • 9 -‘握手错误’
  • 10 -‘解密错误’
  • 11 -‘待处理服务器名称分类查找’
  • 12 -‘待处理通用名称分类查找’
  • 13 -‘内部错误’
  • 14 -‘网络参数不可用’
  • 15 -‘服务器证书处理无效’
  • 16 -‘服务器证书指纹不可用’
  • 17 -‘无法缓存持有者 DN’
  • 18 -‘无法缓存颁发者 DN’
  • 19 -‘未知 SSL 版本’
  • 20 -‘外部证书列表不可用’
  • 21 -‘外部证书指纹不可用’
  • 22 -‘内部证书列表无效’
  • 23 -‘内部证书列表不可用’
  • 24 -‘内部证书不可用’
  • 25 -‘内部证书指纹不可用’
  • 26 -‘服务器证书验证不可用’
  • 27 -‘服务器证书验证失败’
  • 28 -‘操作无效’

网络分析策略 UUID (Network Analysis Policy UUID)

uint8[16]

创建入侵事件的网络分析策略的 UUID。

入侵影响警报数据

入侵影响警报事件包含影响事件的相关信息。当将入侵事件与系统网络映射数据进行比较且影响已确定时，系统传输入侵影响警报数据。该记录使用记录类型为 9 的标准记录报头，后面跟着数据块类型为系列 1 数据块组中的 20 的入侵影响警报数据块。（影响警报数据块是系列 1 类型的数据块。有关系列 1 数据块的详细信息，请参阅了解发现（系列 1）块。）

您可以通过在请求消息的标志字段中设置位 5 来请求 eStreamer 只传输入侵影响事件。有关请求消息的详细信息，请参阅事件流请求消息格式。这些警报的版本 1 只处理 IPv4。5.3 中引入的版本 2 除了处理 IPv4 之外，还处理 IPv6 事件。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (9) (Record Type (9))

 

记录长度 (Record Length)

 

入侵影响警报块类型 (20)（Intrusion Impact Alert Block Type (20))

 

入侵影响警报块长度 (Intrusion Impact Alert Block Length)

 

事件 ID (Event ID)

 

设备 ID (Device ID)

 

事件秒 (Event Second)

 

影响 (Impact)

 

源 IP 地址 (Source IP Address)

 

目标 IP 地址 (Destination IP Address)

影响
说明

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

说明...(Description...)

下表对影响事件中的每个数据字段进行了说明。

 

表 B-8 影响事件数据字段

字段
数据类型
说明

入侵影响警报块类型 (Intrusion Impact Alert Block Type)

uint32

表示后面是入侵影响警报数据块。此字段的值始终为 20 。
请参阅入侵事件和元数据记录类型。

入侵影响警报块长度 (Intrusion Impact Alert Block Length)

uint32

表示入侵影响警报数据块的长度，包括后面的所有数据以及入侵影响警报块类型和长度的 8 个字节。

事件 ID (Event ID)

uint32

表示事件标识号。

设备 ID
(Device ID)

uint32

表示受管设备标识号。

事件秒
(Event Second)

uint32

表示检测到事件的秒数（从 1970/01/01 起）。

影响 (Impact)

bits[8]

事件的影响标志值。低阶八位表示影响级别。值包括：

  • 0x01 （位 0）- 源或目标主机位于系统监控的网络中。
  • 0x02 （位 1）- 源或目标主机存在于网络映射中。
  • 0x04 （位 2）- 源或目标主机在事件中的端口上运行服务器（如果为 TCP 或 UDP）或使 用IP协议。
  • 0x08 （位 3）- 有漏洞映射到事件中的源或目标主机的操作系统。
  • 0x10 （位 4）- 有漏洞映射到事件中检测到的服务器。
  • 0x20 （位 5）- 事件导致受管设备丢弃会话（仅当设备在内联、交换或路由式部署中运行时才使用）。对应于 Firepower 系统 Web 界面中的受阻状态。
  • 0x40 （位 6）- 生成了此事件的规则包含将影响标志设置为红色的规则元数据。源或目标主机可能受到病毒、特洛伊木马或其他恶意软件片段的危害。
  • 0x80 （位 7）- 有漏洞映射到事件中检测到的客户端。（仅限版本 5.0+）

以下影响级别值映射到“防御中心”(Defense Center) 上的特定优先级中。 X 表示值可以为 0 或 1 ：

  • （0，未知）： 00X00000
  • 红色（1，易受攻击）： XXXX1XXX、XXX1XXXX、X1XXXXXX、1XXXXXXX （仅限版本 5.0+）
  • 橙色（2，可能易受攻击）： 00X0011X
  • 黄色（3，当前不易受攻击）： 00X0001X
  • 蓝色（4，未知目标）： 00X00001

源 IP 地址 (Source IP Address)

uint8[4]

与影响事件相关的主机的 IP 地址，采用 IP 地址八位组。

目标 IP 地址 (Destination IP Address)

uint8[4]

与影响事件相关的目标 IP 地址的 IP 地址（如适用），采用 IP 地址八位组。如果无目标 IP 地址，则此值为 0 。

字符串块类型 (String Block Type)

uint32

启动包含影响名称的字符串数据块。此值始终设置为 0 。有关字符串块的详细信息，请参阅字符串数据块。

字符串块长度
(String Block Length)

uint32

事件说明字符串块中的字节数。这包括字符串块类型的四个字节，字符串块长度的四个字节以及说明中的字节数。

说明 (Description)

字符串

影响事件的说明。

旧版恶意软件事件数据结构

恶意软件事件数据块 5.1

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 16。您可以通过在事件版本为 1 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (16)（Malware Event Block Type (16))

 

恶意软件事件块长度 (Malware Event Block Length)

 

代理 UUID (Agent UUID)

代理 UUID (Agent UUID)（续）

代理 UUID (Agent UUID)（续）

 

代理 UUID (Agent UUID)（续）

 

云 UUID (Cloud UUID)

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

时间戳 (Timestamp)

 

事件类型 ID (Event Type ID)

 

事件子类型 ID (Event Subtype ID)

主机 IP 地址 (Host IP Address)

检测名称 (Detection Name)

主机 IP 地址 (Host IP Address)（续）

检测器 ID
(Detector ID)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

检测名称... (Detection Name...)

用户

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

用户... (User...)

文件名 (File Name)

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件名... (File Name...)

文件路径

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件路径... (File Path...)

文件 SHA

哈希

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件 SHA 散列... (File SHA Hash...)

 

文件大小 (File Size)

 

文件类型

文件时间戳 (File Timestamp)

父文件

名称

文件时间戳 (File Timestamp)（续）

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

父文件名... (Parent File Name...)

父文件

SHA 散列

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件 SHA 散列... (Parent File SHA Hash...)

事件

说明

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

事件说明... (Event Description...)

下表对恶意软件事件数据块中的字段进行了说明。

 

表 B-9 恶意软件事件数据块字段

字段
数据类型
说明

恶意软件事件块类型 (Malware Event Block Type)

uint32

启动恶意软件事件数据块。值始终为 16 。

恶意软件事件块长度 (Malware Event Block Length)

uint32

恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。

代理 UUID
(Agent UUID)

uint8[16]

报告恶意软件事件的面向终端的 AMP 代理的内部唯一 ID。

云 UUID
(Cloud UUID)

uint8[16]

发生恶意软件事件的恶意软件感知网络的内部唯一 ID。

时间戳 (Timestamp)

uint32

恶意软件事件生成时间戳。

事件类型 ID
(Event Type ID)

uint32

恶意软件事件类型的内部 ID。

事件子类型 ID (Event Subtype ID)

uint8

导致恶意软件检测的操作的内部 ID。

主机 IP 地址
(Host IP Address)

uint32

与恶意软件事件相关的主机 IP 地址。

检测器 ID
(Detector ID)

uint8

检测到恶意软件的检测技术的内部 ID。

字符串块类型
(String Block Type)

uint32

启动包含检测名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。

检测名称
(Detection Name)

字符串

检测到或被隔离的恶意软件的名称。

字符串块类型
(String Block Type)

uint32

启动包含用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。

用户

字符串

安装Cisco代理并发生恶意软件事件的计算机的用户。
请注意，这些用户未绑定到用户发现。

字符串块类型
(String Block Type)

uint32

启动包含文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件名”(File Name) 字段中的字节数。

文件名 (File Name)

字符串

被检测或隔离的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含文件路径的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。

文件路径 (File Path)

字符串

被检测或隔离的文件的文件路径，不包括文件名。

字符串块类型 (String Block Type)

uint32

启动包含文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。

文件 SHA 散列
(File SHA Hash)

字符串

被检测或隔离的文件 SHA-256 哈希值。

文件大小 (File Size)

uint32

被检测或隔离的文件的大小（字节）。

文件类型 (File Type)

uint8

被检测或隔离文件的文件类型。

文件时间戳
(File Timestamp)

uint32

被检测或隔离的文件的创建时间戳。

字符串块类型
(String Block Type)

uint32

启动包含父文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。

父文件名 (Parent File Name)

字符串

检测期间访问被检测或隔离文件的文件的名称。

字符串块类型 (String Block Type)

uint32

启动包含父文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列”
(Parent File SHA Hash) 字段中的字节数。

父文件 SHA 散列 (Parent File SHA Hash)

字符串

检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。

字符串块类型 (String Block Type)

uint32

启动包含事件说明的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。

活动说明
(Event Description)

字符串

与事件类型相关的其他事件信息。

恶意软件事件数据块 5.1.1.x

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 24。您可以通过在事件版本为 2 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (24) (Malware Event Block Type (24))

 

恶意软件事件块长度 (Malware Event Block Length)

 

代理 UUID (Agent UUID)

代理 UUID (Agent UUID)（续）

代理 UUID (Agent UUID)（续）

 

代理 UUID (Agent UUID)（续）

 

云 UUID (Cloud UUID)

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

恶意软件事件时间戳 (Malware Event Timestamp)

 

事件类型 ID (Event Type ID)

 

事件子类型 ID (Event Subtype ID)

主机 IP 地址 (Host IP Address)

检测名称 (Detection Name)

主机 IP 地址
(Host IP Address)（续）

检测器 ID
(Detector ID)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

检测名称... (Detection Name...)

用户

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

用户... (User...)

文件名 (File Name)

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件名... (File Name...)

文件路径

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件路径... (File Path...)

文件 SHA

哈希

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件 SHA 散列... (File SHA Hash...)

 

文件大小 (File Size)

 

文件类型
(File Type)

文件时间戳 (File Timestamp)

父文件

名称

文件时间戳 (File Timestamp)（续）

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

父文件名... (Parent File Name...)

父文件

SHA 散列

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件 SHA 散列... (Parent File SHA Hash...)

事件

说明

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

事件说明... (Event Description...)

 

设备 ID (Device ID)

 

连接实例 (Connection Instance)

连接计数器 (Connection Counter)

 

连接事件时间戳 (Connection Event Timestamp)

 

方向 (Direction)

源 IP 地址 (Source IP Address)

 

源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）

 

 

 

源 IP (Source IP)（续）

目标 IP 地址 (Destination IP Address)

 

目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）

 

 

 

目标 IP (Destination IP)（续）

应用 ID (Application ID)

 

App. ID (App. ID)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）

 

 

URI

访问控制策略 UUID (AC Pol UUID)（续）

处理结果 (Disposition)

追溯处理结果 (Retro. Disposition)

字符串块类型 (0) (Str. Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

URI...

 

源端口 (Source Port)

目标端口 (Destination Port)

下表对恶意软件事件数据块中的字段进行了说明。

 

表 B-10 用于 5.1.1.x 的恶意软件事件数据块字段

字段
数据类型
说明

恶意软件事件块类型 (Malware Event Block Type)

uint32

启动恶意软件事件数据块。值始终为 24 。

恶意软件事件块长度 (Malware Event Block Length)

uint32

恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。

代理 UUID (Agent UUID)

uint8[16]

报告恶意软件事件的面向终端的 AMP 代理的内部唯一 ID。

云 UUID (Cloud UUID)

uint8[16]

发生恶意软件事件的恶意软件感知网络的内部唯一 ID。

恶意软件事件时间戳 (Malware Event Timestamp)

uint32

恶意软件事件生成时间戳。

事件类型 ID (Event Type ID)

uint32

恶意软件事件类型的内部 ID。

事件子类型 ID (Event Subtype ID)

uint8

导致恶意软件检测的操作的内部 ID。

主机 IP 地址 (Host IP Address)

uint32

与恶意软件事件相关的主机 IP 地址。

检测器 ID
(Detector ID)

uint8

检测到恶意软件的检测技术的内部 ID。

字符串块类型
(String Block Type)

uint32

启动包含检测名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。

检测名称
(Detection Name)

字符串

检测到或被隔离的恶意软件的名称。

字符串块类型
(String Block Type)

uint32

启动包含用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。

用户

字符串

安装Cisco代理并发生恶意软件事件的计算机的用户。请注意，这些用户未绑定到用户发现。

字符串块类型
(String Block Type)

uint32

启动包含文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件名”(File Name) 字段中的字节数。

文件名 (File Name)

字符串

被检测或隔离的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含文件路径的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。

文件路径 (File Path)

字符串

被检测或隔离的文件的文件路径，不包括文件名。

字符串块类型
(String Block Type)

uint32

启动包含文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。

文件 SHA 散列
(File SHA Hash)

字符串

被检测或隔离的文件 SHA-256 散列值的呈现字符串。

文件大小 (File Size)

uint32

被检测或隔离的文件的大小（字节）。

文件类型 (File Type)

uint8

被检测或隔离文件的文件类型。

文件时间戳
(File Timestamp)

uint32

创建被检测或隔离的文件的 UNIX 时间戳
（自 1970/01/01 起经过的秒数）。

字符串块类型
(String Block Type)

uint32

启动包含父文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。

父文件名
(Parent File Name)

字符串

检测期间访问被检测或隔离文件的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含父文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列”
(Parent File SHA Hash) 字段中的字节数。

父文件 SHA 散列 (Parent File SHA Hash)

字符串

检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。

字符串块类型 (String Block Type)

uint32

启动包含事件说明的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。

活动说明 (Event Description)

字符串

与事件类型相关的其他事件信息。

设备 ID (Device ID)

uint32

生成事件的设备的 ID。

连接实例 (Connection Instance)

uint16

生成事件的设备上的 Snort 实例。用于将该事件与连接或 IDS 事件相关联。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

连接事件时间戳 (Connection Event Timestamp)

uint32

连接事件的时间戳。

方向 (Direction)

uint8

表示文件是否已上传或下载。可能会有以下值：

  • 1 - 下载
  • 2 - 上传

目前该值取决于协议（例如，如果连接是 HTTP，
则其值为 Download）。

源 IP 地址
(Source IP Address)

uint8[16]

连接源的 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

连接目标的 IPv4 或 IPv6 地址。

应用 ID
(Application ID)

uint32

通过文件传送映射至应用的 ID 编号。

用户 ID (User ID)

uint32

系统识别的登录目标主机的用户的标识号。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

作为触发事件的访问控制策略的唯一标识符的标别号。

处理结果 (Disposition)

uint8

文件的恶意软件状态。可能的值包括：

  • 1 - CLEAN - 文件是安全的，不包含恶意软件。
  • 2 - UNKNOWN - 不确定文件是否包含恶意软件。
  • 3 - MALWARE - 文件包含恶意软件。
  • 4 - CACHE_MISS - 软件无法向Cisco云发送请求以了解处置情况。
  • 5 - NO_CLOUD_RESP - Cisco云服务未响应此请求。

追溯处置情况 (Retrospective Disposition)

uint8

处置情况更新后的处置情况。如果处置情况未更新，则此字段包含的值与“处置情况”(Disposition) 字段包含的值相同。可能值与“处置情况”(Disposition) 字段包含的值相同。

字符串块类型
(String Block Type)

uint32

启动包含 URI 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

URI 数据块中的字节数，包括块类型和报头字段的八个字节，加上 URI 字段中的字节数。

URI

字符串

连接的 URI。

源端口 (Source Port)

uint16

连接源的端口号。

目标端口 (Destination Port)

uint16

连接的目标的端口号。

恶意软件事件数据块 5.2.x

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 33。您可以通过在事件版本为 3 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (33) (Malware Event Block Type (33))

 

恶意软件事件块长度 (Malware Event Block Length)

 

代理 UUID (Agent UUID)

代理 UUID (Agent UUID)（续）

代理 UUID (Agent UUID)（续）

 

代理 UUID (Agent UUID)（续）

 

云 UUID (Cloud UUID)

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

恶意软件事件时间戳 (Malware Event Timestamp)

 

事件类型 ID (Event Type ID)

检测名称 (Detection Name)

事件子类型 ID (Event Subtype ID)

检测器 ID (Detector ID)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

检测名称... (Detection Name...)

用户

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

用户... (User...)

文件名

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件名... (File Name...)

文件路径

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件路径... (File Path...)

文件 SHA

哈希

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件 SHA 散列... (File SHA Hash...)

 

文件大小 (File Size)

 

文件类型 (File Type)

 

文件时间戳 (File Timestamp)

父文件

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件名... (Parent File Name...)

父文件

SHA 散列

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件 SHA 散列... (Parent File SHA Hash...)

事件

说明

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

事件说明... (Event Description...)

 

设备 ID (Device ID)

 

连接实例 (Connection Instance)

连接计数器 (Connection Counter)

 

连接事件时间戳 (Connection Event Timestamp)

 

设备 ID (Device ID)

源 IP 地址 (Source IP Address)

 

源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）

 

 

 

源 IP (Source IP)（续）

目标 IP 地址 (Destination IP Address)

 

目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）

 

 

 

目标 IP (Destination IP)（续）

应用 ID (Application ID)

 

App. ID (App. ID)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）

 

 

URI

访问控制策略 UUID (AC Pol UUID)（续）

处理结果 (Disposition)

追溯处理结果 (Retro. Disposition)

字符串块类型 (0) (Str. Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

URI...

 

源端口 (Source Port)

目标端口 (Destination Port)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

操作 (Action)

协议 (Protocol)

 

下表对恶意软件事件数据块中的字段进行了说明。

 

表 B-11 用于 5.2.x 的恶意软件事件数据块字段

字段
数据类型
说明

恶意软件事件块类型 (Malware Event Block Type)

uint32

启动恶意软件事件数据块。值始终为 33 。

恶意软件事件块长度 (Malware Event Block Length)

uint32

恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。

代理 UUID
(Agent UUID)

uint8[16]

报告恶意软件事件的面向终端的 AMP 代理的内部
唯一 ID。

云 UUID
(Cloud UUID)

uint8[16]

发生恶意软件事件的恶意软件感知网络的内部唯一 ID。

恶意软件事件时间戳 (Malware Event Timestamp)

uint32

恶意软件事件生成时间戳。

事件类型 ID (Event Type ID)

uint32

恶意软件事件类型的内部 ID。

事件子类型 ID (Event Subtype ID)

uint8

导致恶意软件检测的操作的内部 ID。

检测器 ID
(Detector ID)

uint8

检测到恶意软件的检测技术的内部 ID。

字符串块类型
(String Block Type)

uint32

启动包含检测名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。

检测名称
(Detection Name)

字符串

检测到或被隔离的恶意软件的名称。

字符串块类型 (String Block Type)

uint32

启动包含用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。

用户 (User)

字符串

安装Cisco代理并发生恶意软件事件的计算机的用户。请注意，这些用户未绑定到用户发现。

字符串块类型
(String Block Type)

uint32

启动包含文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件名字符串数据块中的字节数，包括块类型和报头
字段的八个字节，加上“文件名”(File Name) 字段中的
字节数。

文件名 (File Name)

字符串

被检测或隔离的文件的名称。

字符串块类型 (String Block Type)

uint32

启动包含文件路径的字符串数据块。值始终为 0 。

字符串块长度
(String Block Type)

uint32

文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。

文件路径 (File Path)

字符串

被检测或隔离的文件的文件路径，不包括文件名。

字符串块类型
(String Block Type)

uint32

启动包含文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Type)

uint32

文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。

文件 SHA 散列 (File SHA Hash)

字符串

被检测或隔离的文件 SHA-256 散列值的呈现字符串。

文件大小 (File Size)

uint32

被检测或隔离的文件的大小（字节）。

文件类型 (File Type)

uint8

被检测或隔离文件的文件类型。

文件时间戳
(File Timestamp)

uint32

创建被检测或隔离的文件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

字符串块类型
(String Block Type)

uint32

启动包含父文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。

父文件名
(Parent File Name)

字符串

检测期间访问被检测或隔离文件的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含父文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列”
(Parent File SHA Hash) 字段中的字节数。

父文件 SHA 散列 (Parent File SHA Hash)

字符串

检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。

字符串块类型
(String Block Type)

uint32

启动包含事件说明的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。

活动说明 (Event Description)

字符串

与事件类型相关的其他事件信息。

设备 ID (Device ID)

uint32

生成事件的设备的 ID。

连接实例 (Connection Instance)

uint16

生成事件的设备上的 Snort 实例。用于将该事件与连接或 IDS 事件相关联。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

连接事件时间戳 (Connection Event Timestamp)

uint32

连接事件的时间戳。

方向 (Direction)

uint8

表示文件是否已上传或下载。可能会有以下值：

  • 1 - 下载
  • 2 - 上传

目前该值取决于协议（例如，如果连接是 HTTP，
则其值为 Download）。

源 IP 地址 (Source IP Address)

uint8[16]

连接源的 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

连接目标的 IPv4 或 IPv6 地址。

应用 ID
(Application ID)

uint32

通过文件传送映射至应用的 ID 编号。

用户 ID (User ID)

uint32

系统识别的登录目标主机的用户的标识号。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

作为触发事件的访问控制策略的唯一标识符的标别号。

处理结果 (Disposition)

uint8

文件的恶意软件状态。可能的值包括：

  • 1 - CLEAN - 文件是安全的，不包含恶意软件。
  • 2 - NEUTRAL - 不确定文件是否包含恶意软件。
  • 3 - MALWARE - 文件包含恶意软件。
  • 4 - CACHE_MISS - 软件无法向Cisco云发送请求以了解处置情况，或Cisco云服务未响应此请求。

追溯处置情况 (Retrospective Disposition)

uint8

处置情况更新后的处置情况。如果处置情况未更新，则此字段包含的值与“处置情况”(Disposition) 字段包含的值相同。可能值与“处置情况”(Disposition) 字段包含的值相同。

字符串块类型 (String Block Type)

uint32

启动包含 URI 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

URI 数据块中的字节数，包括块类型和报头字段的八个字节，加上 URI 字段中的字节数。

URI

字符串

连接的 URI。

源端口 (Source Port)

uint16

连接源的端口号。

目标端口 (Destination Port)

uint16

连接的目标的端口号。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

Web 应用 ID (Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

操作 (Action)

uint8

根据文件类型对文件执行的操作。可以具有以下值：

  • 1 - 检测
  • 2 - 阻止
  • 3 - 恶意软件云查找
  • 4 - 恶意软件阻止
  • 5 - 恶意软件允许列表

协议 (Protocol)

uint8

用户指定的 IANA 协议号。例如：

  • 1 - ICMP
  • 4 - IP
  • 6 - TCP
  • 17 - UDP

目前仅限 TCP。

恶意软件事件数据块 5.3

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 35。您可以通过在事件版本为 4 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (35) (Malware Event Block Type (35))

 

恶意软件事件块长度 (Malware Event Block Length)

 

代理 UUID (Agent UUID)

代理 UUID (Agent UUID)（续）

代理 UUID (Agent UUID)（续）

 

代理 UUID (Agent UUID)（续）

 

云 UUID (Cloud UUID)

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

恶意软件事件时间戳 (Malware Event Timestamp)

 

事件类型 ID (Event Type ID)

 

事件子类型 ID (Event Subtype ID)

检测名称 (Detection Name)

检测器 ID (Detector ID)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

检测名称... (Detection Name...)

用户

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

用户... (User...)

文件名

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件名... (File Name...)

文件路径

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件路径... (File Path...)

文件 SHA

哈希

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件 SHA 散列... (File SHA Hash...)

 

文件大小 (File Size)

 

文件类型 (File Type)

 

文件时间戳 (File Timestamp)

父文件

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件名... (Parent File Name...)

父文件

SHA 散列

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件 SHA 散列... (Parent File SHA Hash...)

事件

说明

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

事件说明... (Event Description...)

 

设备 ID (Device ID)

 

连接实例 (Connection Instance)

连接计数器 (Connection Counter)

 

连接事件时间戳 (Connection Event Timestamp)

 

方向 (Direction)

源 IP 地址 (Source IP Address)

 

源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）

 

 

 

源 IP (Source IP)（续）

目标 IP 地址 (Destination IP Address)

 

目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）

 

 

 

目标 IP (Destination IP)（续）

应用 ID (Application ID)

 

App. ID (App. ID)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）

 

 

URI

访问控制策略 UUID (AC Pol UUID)（续）

处理结果 (Disposition)

追溯处理结果 (Retro. Disposition)

字符串块类型 (0) (Str. Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

URI...

 

源端口 (Source Port)

目标端口 (Destination Port)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

操作 (Action)

协议 (Protocol)

威胁评分 (Threat Score)

IOC 编号
(IOC Number)

 

IOC 编号 (IOC Number)（续）

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

下表对恶意软件事件数据块中的字段进行了说明。

 

表 B-12 用于 5.3 的恶意软件事件数据块字段

字段
数据类型
说明

恶意软件事件块类型 (Malware Event Block Type)

uint32

启动恶意软件事件数据块。值始终为 35 。

恶意软件事件块长度 (Malware Event Block Length)

uint32

恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。

代理 UUID
(Agent UUID)

uint8[16]

报告恶意软件事件的面向终端的 AMP 代理的内部唯一 ID。

云 UUID
(Cloud UUID)

uint8[16]

发生恶意软件事件的恶意软件感知网络的内部唯一 ID。

恶意软件事件时间戳 (Malware Event Timestamp)

uint32

恶意软件事件生成时间戳。

事件类型 ID
(Event Type ID)

uint32

恶意软件事件类型的内部 ID。

事件子类型 ID (Event Subtype ID)

uint32

导致恶意软件检测的操作的内部 ID。

检测器 ID
(Detector ID)

uint8

检测到恶意软件的检测技术的内部 ID。

字符串块类型
(String Block Type)

uint32

启动包含检测名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。

检测名称
(Detection Name)

字符串

检测到或被隔离的恶意软件的名称。

字符串块类型
(String Block Type)

uint32

启动包含用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。

用户 (User)

字符串

安装Cisco代理并发生恶意软件事件的计算机的用户。请注意，这些用户未绑定到用户发现。

字符串块类型
(String Block Type)

uint32

启动包含文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件名”(File Name) 字段中的字节数。

文件名 (File Name)

字符串

被检测或隔离的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含文件路径的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。

文件路径 (File Path)

字符串

被检测或隔离的文件的文件路径，不包括文件名。

字符串块类型
(String Block Type)

uint32

启动包含文件 SHA 散列的字符串数据块。值始终为 0 。

字符串块长度
(String Block Type)

uint32

文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。

文件 SHA 散列
(File SHA Hash)

字符串

被检测或隔离的文件 SHA-256 散列值的呈现字符串。

文件大小 (File Size)

uint32

被检测或隔离的文件的大小（字节）。

文件类型 (File Type)

uint8

被检测或隔离文件的文件类型。此字段的含义在随此事件提供的元数据中传输。有关详细信息，请参阅面向终端的 AMP 文件类型元数据。

文件时间戳
(File Timestamp)

uint32

创建被检测或隔离的文件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

字符串块类型
(String Block Type)

uint32

启动包含父文件名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。

父文件名
(Parent File Name)

字符串

检测期间访问被检测或隔离文件的文件的名称。

字符串块类型 (String Block Type)

uint32

启动包含父文件 SHA 散列的字符串数据块。
值始终为 0 。

字符串块长度
(String Block Length)

uint32

父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列”
(Parent File SHA Hash) 字段中的字节数。

父文件 SHA 散列 (Parent File SHA Hash)

字符串

检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。

字符串块类型
(String Block Type)

uint32

启动包含事件说明的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。

活动说明
(Event Description)

字符串

与事件类型相关的其他事件信息。

设备 ID (Device ID)

uint32

生成事件的设备的 ID。

连接实例 (Connection Instance)

uint16

生成事件的设备上的 Snort 实例。用于将该事件与连接或 IDS 事件相关联。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

连接事件时间戳 (Connection Event Timestamp)

uint32

连接事件的时间戳。

方向 (Direction)

uint8

表示文件是否已上传或下载。可能会有以下值：

  • 1 - 下载
  • 2 - 上传

目前该值取决于协议（例如，如果连接是 HTTP，
则其值为 Download）。

源 IP 地址 (Source IP Address)

uint8[16]

连接源的 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

连接目标的 IPv4 或 IPv6 地址。

应用 ID
(Application ID)

uint32

通过文件传送映射至应用的 ID 编号。

用户 ID (User ID)

uint32

系统识别的登录目标主机的用户的标识号。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

作为触发事件的访问控制策略的唯一标识符的标别号。

处理结果 (Disposition)

uint8

文件的恶意软件状态。可能的值包括：

  • 1 - CLEAN 文件是安全的，不包含恶意软件。
  • 2 - UNKNOWN 不确定文件是否包含恶意软件。
  • 3 - MALWARE 文件包含恶意软件。
  • 4 - UNAVAILABLE 软件无法向 Cisco 云发送请求以了解处置情况，或 Cisco 云服务未响应此请求。
  • 5 - CUSTOM SIGNATURE 文件与用户定义的散列匹配，并且以用户指定的方式进行处理。

追溯处置情况 (Retrospective Disposition)

uint8

处置情况更新后的处置情况。如果处置情况未更新，则此字段包含的值与“处置情况”(Disposition) 字段包含的值相同。可能值与“处置情况”(Disposition) 字段包含的值相同。

字符串块类型
(String Block Type)

uint32

启动包含 URI 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Type)

uint32

URI 数据块中的字节数，包括块类型和报头字段的八个字节，加上 URI 字段中的字节数。

URI

字符串

连接的 URI。

源端口 (Source Port)

uint16

连接源的端口号。

目标端口 (Destination Port)

uint16

连接的目标的端口号。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

Web 应用 ID (Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

操作 (Action)

uint8

根据文件类型对文件执行的操作。可能会有以下值：

  • 1 - 检测
  • 2 - 阻止
  • 3 - 恶意软件云查找
  • 4 - 恶意软件阻止
  • 5 - 恶意软件允许列表

协议 (Protocol)

uint8

用户指定的 IANA 协议号。例如：

  • 1 - ICMP
  • 4 - IP
  • 6 - TCP
  • 17 - UDP

目前仅限 TCP。

威胁评分
(Threat Score)

uint8

0 到 100 之间的数值，基于在动态分析期间观察到的潜在恶意行为而打出。

IOC 编号
(IOC Number)

uint16

与此事件相关的危害的 ID 号码。

恶意软件事件数据块 5.3.1

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 44。它替代了块 35。您可以通过在事件版本为 5 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求标志”(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (44) (Malware Event Block Type (44))

 

恶意软件事件块长度 (Malware Event Block Length)

 

代理 UUID (Agent UUID)

代理 UUID (Agent UUID)（续）

代理 UUID (Agent UUID)（续）

 

代理 UUID (Agent UUID)（续）

 

云 UUID (Cloud UUID)

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

恶意软件事件时间戳 (Malware Event Timestamp)

 

事件类型 ID (Event Type ID)

 

事件子类型 ID (Event Subtype ID)

检测名称 (Detection Name)

检测器 ID
(Detector ID)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

检测名称... (Detection Name...)

用户

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

用户... (User...)

文件名

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件名... (File Name...)

文件路径

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件路径... (File Path...)

文件 SHA

哈希

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

文件 SHA 散列... (File SHA Hash...)

 

文件大小 (File Size)

 

文件类型 (File Type)

 

文件时间戳 (File Timestamp)

父文件

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件名... (Parent File Name...)

父文件

SHA 散列

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

父文件 SHA 散列... (Parent File SHA Hash...)

事件

说明

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

事件说明... (Event Description...)

 

设备 ID (Device ID)

 

连接实例 (Connection Instance)

连接计数器 (Connection Counter)

 

连接事件时间戳 (Connection Event Timestamp)

 

方向 (Direction)

源 IP 地址 (Source IP Address)

 

源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）

 

 

 

源 IP (Source IP)（续）

目标 IP 地址 (Destination IP Address)

 

目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）

 

 

 

目标 IP
(Destination IP)（续）

应用 ID (Application ID)

 

App. ID (App. ID)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）

 

 

URI

访问控制策略 UUID (AC Pol UUID)（续）

处理结果 (Disposition)

追溯处理结果 (Retro. Disposition)

字符串块类型 (0) (Str. Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

URI...

 

源端口 (Source Port)

目标端口 (Destination Port)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

操作 (Action)

协议 (Protocol)

威胁评分
(Threat Score)

IOC 编号 (IOC Number)

 

IOC 编号 (IOC Number)（续）

安全情景 (Security Context)

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Cont.)（续）

 

下表对恶意软件事件数据块中的字段进行了说明。

 

表 B-13 用于 5.3.1 的恶意软件事件数据块字段

字段
数据类型
说明

恶意软件事件块类型 (Malware Event Block Type)

uint32

启动恶意软件事件数据块。值始终为 44 。

恶意软件事件块长度 (Malware Event Block Length)

uint32

恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。

代理 UUID
(Agent UUID)

uint8[16]

报告恶意软件事件的面向终端的 AMP 代理的内部
唯一 ID。

云 UUID
(Cloud UUID)

uint8[16]

发生恶意软件事件的 思科高级恶意软件防护云的内部唯一 ID。

恶意软件事件时间戳 (Malware Event Timestamp)

uint32

恶意软件事件生成时间戳。

事件类型 ID
(Event Type ID)

uint32

恶意软件事件类型的内部 ID。

事件子类型 ID (Event Subtype ID)

uint32

导致恶意软件检测的操作的内部 ID。

检测器 ID
(Detector ID)

uint8

检测到恶意软件的检测技术的内部 ID。

字符串块类型
(String Block Type)

uint32

启动包含检测名称的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。

检测名称
(Detection Name)

字符串

检测到或被隔离的恶意软件的名称。

字符串块类型
(String Block Type)

uint32

启动包含用户名的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。

用户 (User)

字符串

安装代理思科高级恶意软件防护云发生恶意软件事件的计算机的用户。请注意，这些用户未绑定到用户发现。

字符串块类型
(String Block Type)

uint32

启动包含文件名的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件名”(File Name) 字段中的字节数。

文件名 (File Name)

字符串

被检测或隔离的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含文件路径的字符串数据块。值始终为 0。

字符串块长度
(String Block Type)

uint32

文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。

文件路径 (File Path)

字符串

被检测或隔离的文件的文件路径，不包括文件名。

字符串块类型
(String Block Type)

uint32

启动包含文件 SHA 散列的字符串数据块。值始终为 0。

字符串块长度
(String Block Type)

uint32

文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。

文件 SHA 散列
(File SHA Hash)

字符串

被检测或隔离的文件 SHA-256 散列值的呈现字符串。

文件大小 (File Size)

uint32

被检测或隔离的文件的大小（字节）。

文件类型 (File Type)

uint8

被检测或隔离文件的文件类型。此字段的含义在随此事件提供的元数据中传输。有关详细信息，请参阅面向终端的 AMP 文件类型元数据。

文件时间戳
(File Timestamp)

uint32

创建被检测或隔离的文件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

字符串块类型
(String Block Type)

uint32

启动包含父文件名的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。

父文件名
(Parent File Name)

字符串

检测期间访问被检测或隔离文件的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含父文件 SHA 散列的字符串数据块。
值始终为 0。

字符串块长度
(String Block Length)

uint32

父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列”
(Parent File SHA Hash) 字段中的字节数。

父文件 SHA 散列 (Parent File SHA Hash)

字符串

检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。

字符串块类型
(String Block Type)

uint32

启动包含事件说明的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。

活动说明
(Event Description)

字符串

与事件类型相关的其他事件信息。

设备 ID (Device ID)

uint32

生成事件的设备的 ID。

连接实例 (Connection Instance)

uint16

生成事件的设备上的 Snort 实例。用于将该事件与连接或 IDS 事件相关联。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

连接事件时间戳 (Connection Event Timestamp)

uint32

连接事件的时间戳。

方向 (Direction)

uint8

表示文件是否已上传或下载。可能会有以下值：

  • 1 - 下载
  • 2 - 上传

目前该值取决于协议（例如，如果连接是 HTTP，
则其值为 Download）。

源 IP 地址
(Source IP Address)

uint8[16]

连接源的 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

连接目标的 IPv4 或 IPv6 地址。

应用 ID
(Application ID)

uint32

通过文件传送映射至应用的 ID 编号。

用户 ID (User ID)

uint32

系统识别的登录目标主机的用户的标识号。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

作为触发事件的访问控制策略的唯一标识符的标别号。

处理结果 (Disposition)

uint8

文件的恶意软件状态。可能的值包括：

  • 1 - CLEAN 文件是安全的，不包含恶意软件。
  • 2 - UNKNOWN 不确定文件是否包含恶意软件。
  • 3 - MALWARE 文件包含恶意软件。
  • 4 - UNAVAILABLE 软件无法向 Cisco 云发送请求以了解处置情况，或 Cisco 云服务未响应此请求。
  • 5 - CUSTOM SIGNATURE 文件与用户定义的散列匹配，并且以用户指定的方式进行处理。

追溯处置情况 (Retrospective Disposition)

uint8

处置情况更新后的处置情况。如果处置情况未更新，则此字段包含的值与“处置情况”(Disposition) 字段包含的值相同。可能值与“处置情况”(Disposition) 字段包含的值相同。

字符串块类型
(String Block Type)

uint32

启动包含 URI 的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

URI 数据块中的字节数，包括块类型和报头字段的八个字节，加上 URI 字段中的字节数。

URI

字符串

连接的 URI。

源端口 (Source Port)

uint16

连接源的端口号。

目标端口 (Destination Port)

uint16

连接的目标的端口号。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

Web 应用 ID
(Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

操作 (Action)

uint8

根据文件类型对文件执行的操作。可能会有以下值：

  • 1 - 检测
  • 2 - 阻止
  • 3 - 恶意软件云查找
  • 4 - 恶意软件阻止
  • 5 - 恶意软件允许列表

协议 (Protocol)

uint8

用户指定的 IANA 协议号。例如：

  • 1 - ICMP
  • 4 - IP
  • 6 - TCP
  • 17 - UDP

目前仅限 TCP。

威胁评分
(Threat Score)

uint8

0 到 100 之间的数值，基于在动态分析期间观察到的潜在恶意行为而打出。

IOC 编号
(IOC Number)

uint16

与此事件相关的危害的 ID 号码。

安全情景
(Security Context)

uint8(16)

流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。

恶意软件事件数据块 5.4.x

eStreamer 服务使用恶意软件事件数据块存储有关恶意软件事件的信息。这些事件包含关于在云内检测到或被隔离的恶意软件、检测方法以及受恶意软件影响的主机和用户的信息。恶意软件事件数据块的块类型为系列 2 数据块组中的 47。它替代了块 44，然后被块替代。已添加用于 SSL 和文件存档支持的字段。

您可以通过在事件版本为 6 且事件代码为 101 的请求消息中设置恶意软件事件标志（“请求
标志”(Request Flags) 字段中的位 30），将该事件作为恶意软件事件记录的一部分进行请求。

下图显示恶意软件事件数据块的结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (47) (Malware Event Block Type (47))

 

恶意软件事件块长度 (Malware Event Block Length)

 

代理 UUID (Agent UUID)

代理 UUID (Agent UUID)（续）

代理 UUID (Agent UUID)（续）

 

代理 UUID (Agent UUID)（续）

 

云 UUID (Cloud UUID)

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

云 UUID (Cloud UUID)（续）

 

恶意软件事件时间戳 (Malware Event Timestamp)

 

事件类型 ID (Event Type ID)

 

事件子类型 ID (Event Subtype ID)

检测名称 (Detection Name)

检测器 ID
(Detector ID)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度 (String Block Length)

字符串块长度
(String Block Length)（续）

检测名称... (Detection Name...)

用户

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

用户... (User...)

文件名

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

文件名... (File Name...)

文件路径

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

文件路径... (File Path...)

文件 SHA

哈希

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

文件 SHA 散列... (File SHA Hash...)

 

文件大小 (File Size)

 

文件类型 (File Type)

 

文件时间戳 (File Timestamp)

父文件

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

父文件名... (Parent File Name...)

父文件

SHA 散列

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

父文件 SHA 散列... (Parent File SHA Hash...)

事件

说明

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

事件说明... (Event Description...)

 

设备 ID (Device ID)

 

连接实例 (Connection Instance)

连接计数器 (Connection Counter)

 

连接事件时间戳 (Connection Event Timestamp)

 

方向 (Direction)

源 IP 地址 (Source IP Address)

 

源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）
源 IP 地址 (Source IP Address)（续）

 

 

 

源 IP (Source IP)（续）

目标 IP 地址 (Destination IP Address)

 

目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）
目标 IP 地址 (Destination IP Address)（续）

 

 

 

目标 IP (Destination IP)（续）

应用 ID (Application ID)

 

App. ID (App. ID)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

访问控制策略 UUID (Access Control Policy UUID)

 

访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）
访问控制策略 UUID (Access Control Policy UUID)（续）

 

 

URI

访问控制策略 UUID (AC Pol UUID)（续）

处理结果 (Disposition)

追溯处理结果 (Retro. Disposition)

字符串块类型 (0) (Str. Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度 (String Block Length)（续）

URI...

 

源端口 (Source Port)

目标端口 (Destination Port)

 

源国家/地区 (Source Country)

目标国家/地区 (Destination Country)

 

Web 应用 ID (Web Application ID)

 

客户端应用 ID (Client Application ID)

 

操作 (Action)

协议 (Protocol)

威胁评分
(Threat Score)

IOC 编号 (IOC Number)

 

IOC 编号 (IOC Number)（续）

安全情景 (Security Context)

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Context)（续）

 

安全情景 (Security Cont.)（续）

SSL 证书指纹 (SSL Certificate Fingerprint)

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Certificate Fingerprint)（续）

 

SSL 证书指纹 (SSL Cert Fpt)（续）

SSL 实际操作 (SSL Actual Action)

SSL 流状态
(SSL Flow Status)

存档 SHA

SSL 流状态 (SSL Flow Stat.)（续）

字符串块类型 (0) (String Block Type (0))

字符串块类型 (Str. Blk Type)（续）

字符串块类型 (0) (String Block Type (0))

字符串长度 (Str. Length)（续）

存档 SHA... (Archive SHA...)

存档名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

存档名称... (Archive Name...)

 

存档深度
(Archive Depth)

 

下表对恶意软件事件数据块中的字段进行了说明。

 

表 B-14 用于 5.4.x 的恶意软件事件数据块字段

字段
数据类型
说明

恶意软件事件块类型 (Malware Event Block Type)

uint32

启动恶意软件事件数据块。值始终为 47。

恶意软件事件块长度 (Malware Event Block Length)

uint32

恶意软件事件数据块中的字节总数，包括恶意软件事件块类型和长度字段的八个字节，加上随后的数据字节数。

代理 UUID
(Agent UUID)

uint8[16]

报告恶意软件事件的面向终端的 AMP 代理的内部唯一 ID。

云 UUID
(Cloud UUID)

uint8[16]

发生恶意软件事件的 思科高级恶意软件防护云的内部唯一 ID。

恶意软件事件时间戳 (Malware Event Timestamp)

uint32

恶意软件事件生成时间戳。

事件类型 ID
(Event Type ID)

uint32

恶意软件事件类型的内部 ID。

事件子类型 ID (Event Subtype ID)

uint32

导致恶意软件检测的操作的内部 ID。

检测器 ID
(Detector ID)

uint8

检测到恶意软件的检测技术的内部 ID。

字符串块类型 (String Block Type)

uint32

启动包含检测名称的字符串数据块。 值 始终为 0。

字符串块长度
(String Block Type)

uint32

检测名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“检测名称”(Detection Name) 字段中的字节数。

检测名称
(Detection Name)

字符串

检测到或被隔离的恶意软件的名称。

字符串块类型 (String Block Type)

uint32

启动包含用户名的字符串数据块。 值 始终为 0。

字符串块长度
(String Block Length)

uint32

用户字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“用户”(User) 字段中的字节数。

用户

字符串

安装Cisco代理并发生恶意软件事件的计算机的用户。请注意，这些用户未绑定到用户发现。

字符串块类型
(String Block Type)

uint32

启动包含文件名的字符串数据块。 值 始终为 0。

字符串块长度
(String Block Length)

uint32

文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件名”(File Name) 字段中的字节数。

文件名 (File Name)

字符串

被检测或隔离的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含文件路径的字符串数据块。 值 始终为 0。

字符串块长度
(String Block Length)

uint32

文件路径字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件路径”(File Path) 字段中的字节数。

文件路径 (File Path)

字符串

被检测或隔离的文件的文件路径，不包括文件名。

字符串块类型
(String Block Type)

uint32

启动包含文件 SHA 散列的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“文件 SHA 散列”(File SHA Hash) 字段中的字节数。

文件 SHA 散列
(File SHA Hash)

字符串

被检测或隔离的文件 SHA-256 散列值的呈现字符串。

文件大小 (File Size)

uint32

被检测或隔离的文件的大小（字节）。

文件类型 (File Type)

uint8

被检测或隔离文件的文件类型。此字段的含义在随此事件提供的元数据中传输。有关详细信息，请参阅面向终端的 AMP 文件类型元数据。

文件时间戳
(File Timestamp)

uint32

创建被检测或隔离的文件的 UNIX 时间戳
（自 1970/01/01 起经过的秒数）。

字符串块类型
(String Block Type)

uint32

启动包含父文件名的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

父文件名字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件名”(Parent File Name) 字段中的字节数。

父文件名 (Parent File Name)

字符串

检测期间访问被检测或隔离文件的文件的名称。

字符串块类型
(String Block Type)

uint32

启动包含父文件 SHA 散列的字符串数据块。值始终
为 0。

字符串块长度
(String Block Length)

uint32

父文件 SHA 散列字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“父文件 SHA 散列”
(Parent File SHA Hash) 字段中的字节数。

父文件 SHA 散列 (Parent File SHA Hash)

字符串

检测期间访问被检测或隔离文件的父文件的 SHA-256 哈希值。

字符串块类型 (String Block Type)

uint32

启动包含事件说明的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

事件说明字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上“事件说明”(Event Description) 字段中的字节数。

活动说明
(Event Description)

字符串

与事件类型相关的其他事件信息。

设备 ID (Device ID)

uint32

生成事件的设备的 ID。

连接实例 (Connection Instance)

uint16

生成事件的设备上的 Snort 实例。用于将该事件与连接或 IDS 事件相关联。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

连接事件时间戳 (Connection Event Timestamp)

uint32

连接事件的时间戳。

方向 (Direction)

uint8

表示文件是否已上传或下载。可能会有以下值：

  • 1 - 下载
  • 2 - 上传

目前该值取决于协议（例如，如果连接是 HTTP，则其值为 Download）。

源 IP 地址
(Source IP Address)

uint8[16]

连接源的 IPv4 或 IPv6 地址。

目标 IP 地址 (Destination IP Address)

uint8[16]

连接目标的 IPv4 或 IPv6 地址。

应用 ID
(Application ID)

uint32

通过文件传送映射至应用的 ID 号码。

用户 ID (User ID)

uint32

系统识别的登录目标主机的用户的标识号。

访问控制策略 UUID (Access Control Policy UUID)

uint8[16]

作为触发事件的访问控制策略的唯一标识符的标别号。

处理结果 (Disposition)

uint8

文件的恶意软件状态。可能的值包括：

  • 1 - CLEAN 文件是安全的，不包含恶意软件。
  • 2 - UNKNOWN 不确定文件是否包含恶意软件。
  • 3 - MALWARE 文件包含恶意软件。
  • 4 - UNAVAILABLE 软件无法向 Cisco 云发送请求以了解处置情况，或 Cisco 云服务未响应此请求。
  • 5 - CUSTOM SIGNATURE 文件与用户定义的散列匹配，并且以用户指定的方式进行处理。

追溯处置情况 (Retrospective Disposition)

uint8

处置情况更新后的处置情况。如果处置情况未更新，则此字段包含的值与“处置情况”(Disposition) 字段包含的值相同。可能值与“处置情况”(Disposition) 字段包含的值相同。

字符串块类型 (String Block Type)

uint32

启动包含 URI 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

URI 数据块中的字节数，包括块类型和报头字段的八个字节，加上 URI 字段中的字节数。

URI

字符串

连接的 URI。

源端口 (Source Port)

uint16

连接源的端口号。

目标端口 (Destination Port)

uint16

连接的目标的端口号。

源国家/地区 (Source Country)

uint16

源主机的国家/地区代码。

目标国家/地区 (Destination Country)

uint 16

目标主机的国家/地区代码。

Web 应用 ID (Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

操作 (Action)

uint8

根据文件类型对文件执行的操作。可能会有以下值：

  • 1 - 检测
  • 2 - 阻止
  • 3 - 恶意软件云查找
  • 4 - 恶意软件阻止
  • 5 - 恶意软件允许列表
  • 6 - 云查找超时
  • 7 - 自定义检测
  • 8 - 自定义检测阻止
  • 9 - 存档阻止（超出深度）
  • 10 - 存档阻止（已加密）
  • 11 - 存档阻止（检查失败）

协议 (Protocol)

uint8

用户指定的 IANA 协议号。例如：

  • 1 - ICMP
  • 4 - IP
  • 6 - TCP
  • 17 - UDP

目前仅限 TCP。

威胁评分
(Threat Score)

uint8

0 到 100 之间的数值，基于在动态分析期间观察到的潜在恶意行为而打出。

IOC 编号
(IOC Number)

uint16

与此事件相关的危害的 ID 号码。

安全情景
(Security Context)

uint8(16)

流量通过的安全情景（虚拟防火墙）的 ID 号码。请注意，系统仅对多情景模式下的 ASA FirePOWER 设备填充此字段。

SSL 证书指纹
(SSL Certificate Fingerprint)

uint8[20]

SSL 服务器证书的 SHA1 散列。

SSL 实际操作
(SSL Actual Action)

uint16

根据 SSL 规则对连接执行的操作。由于规则中指定的操作可能无法执行，此操作可能与预期操作不同。可能的值包括：

  • 0 -‘未知’
  • 1 -‘请勿解密’
  • 2 -‘阻止’
  • 3 -‘阻止并重置’
  • 4 -‘解密（已知密钥）’
  • 5 -‘解密（更换秘钥）’
  • 6 -‘解密（放弃）’

SSL 流状态 (SSL Flow Status)

uint16

SSL 流量的状态。这些值说明所执行的操作或所显示的错误消息背后的原因。可能的值包括：

  • 0 -‘未知’
  • 1 -‘不匹配’
  • 2 -‘成功’
  • 3 -‘非缓存会话’
  • 4 -‘未知密码套件’
  • 5 -‘不受支持的密码套件’
  • 6 -‘不受支持的 SSL 版本’
  • 7 -‘使用的 SSL 压缩’
  • 8 -‘在被动模式中无法解密的会话’
  • 9 -‘握手错误’
  • 10 -‘解密错误’
  • 11 -‘待处理服务器名称分类查找’
  • 12 -‘待处理通用名称分类查找’
  • 13 -‘内部错误’
  • 14 -‘网络参数不可用’
  • 15 -‘服务器证书处理无效’
  • 16 -‘服务器证书指纹不可用’
  • 17 -‘无法缓存持有者 DN’
  • 18 -‘无法缓存颁发者 DN’
  • 19 -‘未知 SSL 版本’
  • 20 -‘外部证书列表不可用’
  • 21 -‘外部证书指纹不可用’
  • 22 -‘内部证书列表无效’
  • 23 -‘内部证书列表不可用’
  • 24 -‘内部证书不可用’
  • 25 -‘内部证书指纹不可用’
  • 26 -‘服务器证书验证不可用’
  • 27 -‘服务器证书验证失败’
  • 28 -‘操作无效’

字符串块类型 (String Block Type)

uint32

启动包含存档 SHA 的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

存档 SHA 字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上入侵策略名称中的字节数。

存档 SHA (Archive SHA)

字符串

包含该文件的父存档的 SHA1 散列。

字符串块类型
(String Block Type)

uint32

启动包含“存档名称”(Archive Name) 的字符串数据块。 值 始终为 0。

字符串块长度
(String Block Length)

uint32

存档名称字符串数据块中的字节数，包括块类型和报头字段的八个字节，加上入侵策略名称中的字节数。

存档名称
(Archive Name)

字符串

父存档的名称。

存档深度
(Archive Depth)

uint8

嵌套文件的层数。例如，如果文本文件位于压缩存档中，则此值为 1 。

旧版发现数据结构

旧版发现事件报头

发现事件报头 5.0 - 5.1.1.x

发现和连接事件消息包含发现事件报头。它传送事件的类型和子类型、事件发生的时间、出现该事件的设备以及消息中事件数据的结构。报头后面是实际主机发现、用户或连接事件数据。按事件类型划分的主机发现结构中介绍了与不同事件类型/子类型值相关的结构。

发现事件报头的事件类型和事件子类型字段用于识别传输的事件消息的结构。一旦确定事件数据块的结构，您的程序即可对消息进行适当解析。

下图中的阴影行举例说明了发现事件报头的格式。

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

报头版本 (1) (Header Version (1))

消息类型 (4) (Message Type (4))

 

消息长度 (Message Length)

 

Netmap ID

记录类型 (Record Type)

 

记录长度 (Record Length)

 

eStreamer 服务器时间戳 (eStreamer Server Timestamp)
（在事件中，只有当位 23 已设置时）

 

留作未来使用 (Reserved for Future Use)（在事件中，只有当位 23 已设置时）

发现事件报头 (Discovery Event Header)

设备 ID (Device ID)

IP 地址

MAC 地址 (MAC Address)

MAC 地址 (MAC Address)（续）

留作未来使用 (Reserved for future use)

事件秒 (Event Second)

事件微秒 (Event Microsecond)

保留（内部）(Reserved (Internal))

事件类型 (Event Type)

事件子类型 (Event Subtype)

文件编号 (File Number)（仅限内部使用）

文件位置 (File Position)（仅限内部使用）

下表对发现事件报头进行了说明。

 

表 B-15 发现事件报头字段

字段
数据类型
说明

设备 ID
(Device ID)

uint32

生成发现事件的设备的 ID 号码。您可以通过请求版本 3 和版本 4 元数据获取设备的元数据。有关详细信息，请参阅受管设备记录元数据。

IP 地址

uint32

事件所涉及主机的 IP 地址。

MAC 地址
(MAC Address)

uint8[6]

事件所涉及主机的 MAC 地址。

留作未来使用 (Reserved for future use)

byte[2]

值设置为 0 的两个字节的填充。

事件秒
(Event Second)

uint32

系统生成事件的 UNIX 时间戳（自 1970/01/01 起经过的秒数）。

事件微秒 (Event Microsecond)

uint32

系统生成事件的微秒（一秒的百万分之一）增量。

保留（内部）(Reserved (Internal))

字节

源自Cisco的内部数据，可忽略。

事件类型
(Event Type)

uint32

事件类型（新事件为 1000 ，变更事件为 1001 ，用户输入事件为 1002 ，完整主机配置文件为 1050）。有关可用事件类型列表，请参阅按事件类型划分的主机发现结构。

事件子类型 (Event Subtype)

uint32

事件子类型。有关可用事件子类型列表，请参阅按事件类型划分的主机发现结构。

文件编号
(File Number)

byte[4]

串行文件编号。此字段供Cisco内部使用，可以忽略。

文件位置
(File Position)

byte[4]

事件在串行文件中的位置。此字段供Cisco内部使用，
可以忽略。

旧版服务器数据块

有关详细信息，请参阅以下各节：

用于 5.0 - 5.1.1.x 的属性地址数据块

属性地址数据块包含一个属性列表项目，在属性定义数据块中使用。它的块类型为 38。

下图显示属性地址数据块的基本结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

恶意软件事件块类型 (38)（Malware Event Block Type (38))

 

属性地址块长度 (Attribute Address Block Length)

 

属性 ID (Attribute ID)

 

IP 地址

 

位

下表对属性地址数据块的字段进行了说明。

 

表 B-16 属性地址数据块字段

字段
数据类型
说明

属性地址块类型 (Attribute Address Block Type)

uint32

启动属性地址数据块。值始终为 38。

属性地址块长度 (Attribute Address Block Length)

uint32

属性地址数据块中的字节数，包括属性地址块类型和长度字段的八个字节，加上随后的属性地址数据的字节数。

属性 ID (Attribute ID)

uint32

受影响属性的标识号（如适用）。

IP 地址
(IP Addresses)

uint8[4]

主机的 IP 地址（如果地址已自动分配），采用 IP 地址八位组。

位 (Bit)

uint32

如果已自动分配 IP 地址，则包含用于计算网络掩码的有效位。

旧版客户端应用数据块

有关详细信息，请参阅以下各节：

用于 5.0 - 5.1 的用户客户端应用数据块

用户客户端应用数据块包含客户端应用数据来源、添加数据的用户的标识号以及 IP 地址范围数据块列表的相关信息。用户客户端应用数据块的块类型为 59。

下图显示用户客户端应用数据块的基本结构：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户客户端应用块类型 (59)（User Client Application Block Type (59))

 

用户客户端应用块长度 (User Client Application Block Length)

IP 地址

范围

通用列表块类型 (31) (Generic List Block Type (31))

通用列表块长度 (Generic List Block Length)

IP 范围规格数据块 (IP Range Specification Data Blocks)*

 

应用协议 ID (Application Protocol ID)

 

客户端应用 ID (Client Application ID)

版本

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

版本...(Version...)

下表对用户客户端应用数据块的字段进行了说明。

 

表 B-17 用户客户端应用数据块字段

字段
字节数
说明

用户客户端应用块类型 (User Client Application Block Type)

uint32

启动用户客户端应用数据块。值始终为 。

用户客户端应用块长度 (User Client Application Block Length)

uint32

用户客户端应用数据块中的字节总数，包括用户客户端应用块类型和长度字段的八个字节，加上随后的用户客户端应用数据的字节数。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送 IP 地址范围数据的 IP 范围规格数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装 IP 范围规格数据块。

IP 范围规格数据块 (IP Range Specification Data Blocks) *

变量

包含用于用户输入的 IP 地址范围相关信息的 IP 范围规格数据块。有关此数据块的说明，请参阅用户服务器数据块字段。

应用协议 ID (Application Protocol ID)

uint32

应用协议的内部标识号（如适用）。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

字符串块类型 (String Block Type)

uint32

启动包含客户端应用版本的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

客户端应用版本字符串数据块中的字节数，包括字符串块类型和长度字段，加上版本中的字节数。

版本 (Version)

字符串

客户端应用版本。

旧版扫描结果数据块

有关详细信息，请参阅以下各节：

扫描结果数据块 5.0 - 5.1.1.x

扫描结果数据块对漏洞进行说明，在添加扫描结果事件（事件类型 1002，子类型 11）中使用。扫描结果数据块的块类型为 102。

下图显示扫描结果数据块的格式：

 

字节

0

1

2

3

 

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

 

扫描结果块类型 (102)（Scan Result Block Type (102))

 

 

扫描结果块长度 (Scan Result Block Length)

 

 

用户 ID (User ID)

 

 

扫描类型 (Scan Type)

 

 

IP 地址 (IP Addresses)

 

 

端口 (Port)

协议 (Protocol)

 

 

标志 (Flags)

列表块类型 (11) (List Block Type (11))

扫描漏洞列表 (Scan Vulnerability List)

 

列表块类型 (11) (List Block Type (11))

列表块长度 (List Block Length)

漏洞

列表

列表块长度 (List Block Length)

扫描漏洞块类型 (109) (Scan Vulnerability Block Type (109))

扫描漏洞块类型 (109) (Scan Vulnerability Block Type (109))

扫描漏洞块长度 (Scan Vulnerability Block Length)

扫描漏洞块长度
(Scan Vulnerability Block Length)

漏洞数据...(Vulnerability Data...)

 

列表块类型 (11) (List Block Type (11))

一般扫描

结果列表 (Generic Scan Results List)

 

列表块长度 (List Block Length)

Scan Results

列表

一般扫描结果块类型 (108) (Generic Scan Results Block Type (108)

一般扫描结果块长度 (Generic Scan Results Block Length)

一般扫描结果...(Generic Scan Results...)

用户

产品列表

通用列表块类型 (31) (Generic List Block Type (31))

 

通用列表块长度 (Generic List Block Length)

 

用户产品数据块 (User Product Data Blocks)*

 

下表对扫描结果数据块的字段进行了说明。

 

表 B-18 扫描结果数据块字段

字段
数据类型
说明

扫描结果块类型 (Scan Result Block Type)

uint32

启动扫描结果数据块。值始终为 102 。

扫描结果块长度 (Scan Result Block Length)

uint32

扫描漏洞数据块中的字节数，包括扫描漏洞块类型和长度字段的八个字节，加上随后的扫描漏洞数据的字节数。

用户 ID
(User ID)

uint32

包含导入扫描结果或运行产生该扫描结果的扫描的用户的用户标识号。

扫描类型
(Scan Type)

uint32

表明结果是如何添加到系统中的。

IP 地址 (IP Addresses)

uint32

受结果中的漏洞影响的主机的 IP 地址，采用 IP 地址八位组。

端口 (Port)

uint16

受结果中的漏洞影响的子服务器使用的端口。

协议 (Protocol)

uint16

IANA 协议号。例如：

  • 1 - ICMP
  • 4 - IP
  • 6 - TCP
  • 17 - UDP

标志 (Flags)

uint16

保留

列表块类型 (List Block Type)

uint32

启动由传送传输扫描漏洞数据的扫描漏洞数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数。此字节数包括列表块类型和长度字段的八个字节，加上所有封装扫描漏洞数据块。

此字段后面是零个或多个扫描漏洞数据块。

扫描漏洞块类型 (Scan Vulnerability Block Type)

uint32

启动对扫描期间检测到的漏洞进行说明的扫描漏洞数据块。
值始终为 109 。

扫描漏洞块长度 (Scan Vulnerability Block Length)

uint32

扫描漏洞数据块中的字节数，包括扫描漏洞块类型和长度字段的八个字节，加上随后的扫描漏洞数据中的字节数。

漏洞数据 (Vulnerability Data)

字符串

每个漏洞的相关信息。

列表块类型 (List Block Type)

uint32

启动由传送传输扫描漏洞数据的扫描漏洞数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数。此字节数包括列表块类型和长度字段的八个字节，加上所有封装扫描漏洞数据块。

此字段后面是零个或多个扫描漏洞数据块。

一般扫描结果块类型 (Generic Scan Results Block Type)

uint32

启动对扫描期间检测到的服务器和操作系统数据进行说明的一般扫描结果数据块。值始终为 108。

一般扫描结果块长度 (Generic Scan Results Block Length)

uint32

一般扫描结果数据块中的字节数，包括一般扫描结果块类型和长度字段的八个字节，加上随后的扫描结果数据中的字节数。

一般扫描结果数据 (Generic Scan Results Data)

字符串

每个扫描结果的相关信息。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送第三方应用中的主机输入数据的用户产品数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装用户产品数据块。

用户产品数据块 (User Product Data Blocks) *

变量

包含主机输入数据的用户产品数据块。有关此数据块的说明，
请参阅用户产品数据块 5.1+。

 

用于 5.0.x 的用户产品数据块

用户产品数据块传输从第三方应用导入的主机输入数据，包括第三方应用字符串映射。此数据块在连接统计信息数据块 6.0.x和用户服务器和操作系统消息中使用。在版本 4.10.x 中，用户产品数据块的块类型为 65，在版本 5.0 - 5.0.x 中，其块类型为 118。这两种块类型的结构相同。

注 下图中数据块名称旁边的星号 (*) 表示可能会出现多个数据块实例。

下图显示用户产品数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户产品数据块类型 (65 | 118) (User Product Data Block Type (65 | 118))

 

用户产品块长度 (User Product Block Length)

 

源 ID (Source ID)

 

源类型 (Source Type)

IP 地址

范围

通用列表块类型 (31) (Generic List Block Type (31))

通用列表块长度 (Generic List Block Length)

IP 范围规格数据块 (IP Range Specification Data Blocks)*

 

端口 (Port)

协议 (Protocol)

 

丢弃用户产品 (Drop User Product)

自定义

供应商字符串 (Custom Vendor String)

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

自定义供应商字符串...(Custom Vendor String...)

自定义

产品字符串 (Custom Product String)

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

自定义产品字符串...(Custom Product String...)

自定义

版本字符串 (Custom Version String)

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

自定义版本字符串...(Custom Version String...)

 

软件 ID (Software ID)

 

服务器 ID (Server ID)

 

供应商 ID (Vendor ID)

 

产品 ID (Product ID)

主版本

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

主版本字符串...(Major Version String...)

次版本

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

次版本字符串...(Minor Version String...)

修订

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

修订版字符串...(Revision String...)

至主版本

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

至主版本字符串...(To Major Version String...)

至次版本

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

至次版本字符串...(To Minor Version String...)

至修订版

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

至修订版字符串...(To Revision String...)

内部版本字符串
(Build String)

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

内部版本字符串...(Build String...)

修补版本字符串
(Patch String)

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

修补版本字符串...(Patch String...)

分机

字符串

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

扩展版本字符串...(Extension String...)

操作系统 UUID (OS UUID)

操作系统 UUID (Operating System UUID)

操作系统 UUID (Operating System UUID)（续）

操作系统 UUID (Operating System UUID)（续）

操作系统 UUID (Operating System UUID)（续）

修复列表
(List of Fixes)

通用列表块类型 (31) (Generic List Block Type (31))

通用列表块长度 (Generic List Block Length)

修复列表数据块 (Fix List Data Blocks)*

下表对用户产品数据块的组件进行了说明。

 

表 B-19 用于 4.10.x、5.0-5.0.x 的用户产品数据块字段

字段
数据类型
说明

用户产品数据块类型 (User Product Data Block Type)

uint32

启动用户产品数据块。在版本 4.10.x 中，此值为 65 ，在版本 5.0 - 5.0.x 中，此值为 118 。

用户产品块长度 (User Product Block Length)

uint32

用户产品数据块中的字节总数，包括用户产品块类型和长度字段的八个字节，加上随后的用户产品数据中的字节数。

源 ID (Source ID)

uint32

导入数据的源的标识号。

源类型 (Source Type)

uint32

提供数据的源的源类型。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送 IP 地址范围数据的 IP 范围规格数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装 IP 范围规格数据块。

IP 范围规格数据块 (IP Range Specification Data Blocks) *

变量

包含用于用户输入的 IP 地址范围相关信息的 IP 范围规格数据块。有关此数据块的说明，请参阅用于 5.2+ 的 IP 地址范围数据块。

端口 (Port)

uint16

用户指定的端口。

协议 (Protocol)

uint16

用户指定的 IANA 协议号。例如：

  • 1 - ICMP
  • 4 - IP
  • 6 - TCP
  • 17 - UDP

丢弃用户产品 (Drop User Product)

uint32

表示是否已从主机中删除用户操作系统定义：

  • 0 - 否
  • 1 - 是

字符串块类型 (String Block Type)

uint32

启动包含在用户输入中指定的自定义供应商名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

自定义供应商字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上供应商名称中的字节数。

自定义供应商名称 (Custom Vendor Name)

字符串

在用户输入中指定的自定义供应商名称。

字符串块类型 (String Block Type)

uint32

启动包含在用户输入中指定的自定义产品名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

自定义产品字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上产品名称中的字节数。

自定义产品名称 (Custom Product Name)

字符串

在用户输入中指定的自定义产品名称。

字符串块类型 (String Block Type)

uint32

启动包含在用户输入中指定的自定义版本的字符串数据块。
值始终为 0 。

字符串块长度
(String Block Length)

uint32

自定义版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上版本中的字节数。

自定义版本 (Custom Version)

字符串

在用户输入中指定的自定义版本。

软件 ID (Software ID)

uint32

Cisco数据库中服务器或操作系统特定修订版的标识符。

服务器 ID (Server ID)

uint32

在用户输入中指定的主机服务器上的应用协议的 Cisco应用标识符。

供应商 ID (Vendor ID)

uint32

在第三方操作系统映射到Cisco 3D 操作系统定义时指定的第三方操作系统的供应商的标识符。

产品 ID
(Product ID)

uint32

在第三方操作系统字符串映射到Cisco 3D 操作系统定义时指定的第三方操作系统字符串的产品标识字符串。

字符串块类型 (String Block Type)

uint32

启动一个字符串数据块，此数据块包含用户输入中第三方操作系统字符串映射到的Cisco 3D 操作系统定义的主版本号。值始终为 0 。

字符串块长度
(String Block Length)

uint32

主版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上版本中的字节数。

主版本
(Major Version)

字符串

第三方操作系统字符串映射到的Cisco 3D 操作系统定义的主
版本。

字符串块类型 (String Block Type)

uint32

启动一个字符串数据块，此数据块包含第三方操作系统字符串映射到的Cisco 3D 操作系统定义的次版本号。值始终为 0 。

字符串块长度
(String Block Length)

uint32

次版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上版本中的字节数。

次版本
(Minor Version)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统定义的次版本号。

字符串块类型 (String Block Type)

uint32

启动包含用户输入中的第三方操作系统字符串映射到的Cisco操作系统定义的修订号的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

修订版字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上修订号中的字节数。

修订版 (Revision)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统定义的修订号。

字符串块类型 (String Block Type)

uint32

启动包含第三方操作系统字符串映射到的Cisco 3D 操作系统定义的最新主版本的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

至主版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上版本中的字节数。

至主版本 (To Major)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统定义的一系列主版本号中的最新版本号。

字符串块类型 (String Block Type)

uint32

启动包含第三方操作系统字符串映射到的Cisco 3D 操作系统定义的最新次版本的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

至次版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上版本中的字节数。

至次版本 (To Minor)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统定义的一系列次版本号中的最新版本号。

字符串块类型 (String Block Type)

uint32

启动一个字符串数据块，此数据块包含第三方操作系统字符串映射到的Cisco 3D 操作系统定义的最新修订号。值始终为 0 。

字符串块长度
(String Block Length)

uint32

至修订版字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上修订号中的字节数。

至修订版 (To Revision)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统定义的一系列修订号中的最新修订号。

字符串块类型 (String Block Type)

uint32

启动包含第三方操作系统字符串映射到的Cisco 3D 操作系统的内部版本号的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length

uint32

内部版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上内部版本号中的字节数。

内部版本 (Build)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统的内部版本号。

字符串块类型 (String Block Type)

uint32

启动包含第三方操作系统字符串映射到的Cisco 3D 操作系统的修补版本号的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

修补版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上修补版本号中的字节数。

修补 (Patch)

字符串

用户输入中的第三方操作系统字符串映射到的Cisco 3D 操作系统的修补版本号。

字符串块类型 (String Block Type)

uint32

启动包含第三方操作系统字符串映射到的Cisco 3D 操作系统的扩展版本号的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

扩展版本字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上扩展版本号中的字节数。

分机 (Extension)

字符串

用户输入中第三方操作系统字符串映射到的Cisco 3D 操作系统的扩展版本号。

UUID

uint8 [x16]

包含操作系统的唯一标识号。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送有关应用到特定 IP 地址范围中指定主机的修复的用户输入数据的修复列表数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装修复列表数据块。

修复列表数据块 (Fix List Data Blocks) *

变量

包含应用到主机的修复的相关信息的修复列表数据块。有关此数据块的说明，请参阅修复列表数据块。

用于 5.0 - 5.0.2 的用户登录信息数据块

用户登录信息数据块在用户信息更新消息中使用，传送检测到的用户的登录信息变更。有关详细信息，请参阅用户信息更新消息块.

在版本 5.0 - 5.0.2 中，用户登录信息数据块的块类型为 121。

下图显示用户登录信息数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户登录信息块类型 (121) (User Login Information Block Type (121))

 

用户登录信息块长度 (User Login Information Block Length)

 

时间戳 (Timestamp)

 

IP 地址 (IP Addresses)

用户

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

用户名... (User Name...)

 

用户 ID (User ID)

 

应用 ID (Application ID)

电子邮件

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电子邮件...(Email...)

下表对用户登录信息数据块的组件进行了说明。

 

表 B-20 用户登录信息数据块字段 5.0 - 5.0.2

字段
数据类型
说明

用户登录信息块类型 (User Login Information Block Type)

uint32

启动用户登录信息数据块。在版本 5.0 - 5.0.2 中，此值为 121 。

用户登录信息块长度 (User Login Information Block Length)

uint32

用户登录信息数据块中的字节总数，包括用户登录信息块类
型和长度字段的八个字节，加上随后的用户登录信息数据中
的字节数。

时间戳 (Timestamp)

uint32

事件的时间戳。

IP 地址 (IP Addresses)

uint8[4]

检测到用户登录的主机的 IP 地址，采用 IP 地址八位组。

字符串块类型 (String Block Type)

uint32

启动包含用户的用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上用户名中的字节数。

用户名 (Username)

字符串

用户的用户名。

用户 ID
(User ID)

uint32

用户的标识号。

应用 ID (Application ID)

uint32

派生登录信息的连接中使用的应用协议的应用 ID。

字符串块类型 (String Block Type)

uint32

启动包含用户的邮件地址的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

电子邮件地址字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电子邮件地址中的字节数。

电子邮件 (Email)

字符串

用户的邮件地址。

用户登录信息数据块 5.1 - 5.4.x

用户登录信息数据块在用户信息更新消息中使用，传送检测到的用户的登录信息变更。有关详细信息，请参阅用户帐户更新消息数据块。

在版本 4.7 - 4.10.x 中，用户登录信息数据块的块类型为 73，在版本 5.0 - 5.0.2 中，块类型为系列 1 数据块组中的 121，在版本 5.1-5.4.x 中，块类型为系列 1 数据块组中的 127。

下图显示用户登录信息数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户登录信息块类型 (127)(User Login Information Block Type (127))

 

用户登录信息块长度 (User Login Information Block Length)

 

时间戳 (Timestamp)

 

IPv4 地址 (IPv4 Addresses)

用户

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

用户名... (User Name...)

 

用户 ID (User ID)

 

应用 ID (Application ID)

电子邮件

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电子邮件...(Email...)

 

IPv6 地址 (IPv6 Address)

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

报告者 (Reported By)

登录类型
(Login Type)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度 (String Block Length)

字符串块长度
(String Block Length)

报告者... (Reported By...)

下表对用户登录信息数据块的组件进行了说明。

 

表 B-21 用户登录信息数据块字段

字段
数据类型
说明

用户登录信息块类型 (User Login Information Block Type)

uint32

启动用户登录信息数据块。在版本 5.1+ 中，此值为 127 。

用户登录信息块长度 (User Login Information Block Length)

uint32

用户登录信息数据块中的字节总数，包括用户登录信息块类型和长度字段的八个字节，加上随后的用户登录信息数据中的字节数。

时间戳 (Timestamp)

uint32

事件的时间戳。

IPv4 地址
(IPv4 Addresses)

uint32

保留此字段，但不再填充。IPv4 地址存储在 IPv6 地址字段中。有关详细信息，请参阅IP 地址。

字符串块类型 (String Block Type)

uint32

启动包含用户的用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上用户名中的字节数。

用户名 (Username)

字符串

用户的用户名。

用户 ID (User ID)

uint32

用户的标识号。

应用 ID
(Application ID)

uint32

派生登录信息的连接中使用的应用协议的应用 ID。

字符串块类型 (String Block Type)

uint32

启动包含用户的邮件地址的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

电子邮件地址字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电子邮件地址中的字节数。

电子邮件 (Email)

字符串

用户的邮件地址。

IPv6 地址
(IPv6 Address)

uint8[16]

检测到用户登录的主机的 IPv6 地址，采用 IP 地址八位组。

登录类型
(Login Type)

uint8

检测到的用户登录类型。

字符串块类型 (String Block Type)

uint32

启动包含报告者值的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

报告者字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上“报告者”(Reported By) 字段中的字节数。

报告者
(Reported By)

字符串

报告登录的 Active Directory 服务器的名称。

用户登录信息数据块 6.0.x

用户登录信息数据块在用户信息更新消息中使用，传送检测到的用户的登录信息变更。有关详细信息，请参阅用户帐户更新消息数据块。

在版本 6.0.x 中，用户登录信息数据块的块类型为 159。它具有新 ISE 集成终端配置文件、安全情报字段。

在版本 4.7 - 4.10.x 中，用户登录信息数据块的块类型为 73。在版本 5.0 - 5.0.2 中，块类型为系列 1 数据块组中的 121。在版本 5.1+ 中，块类型为系列 1 数据块组中的 127。有关详细信息，请参阅用户登录信息数据块 5.1 - 5.4.x。

下图显示用户登录信息数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户登录信息块类型 (159) (User Login Information Block Type (159))

 

用户登录信息块长度 (User Login Information Block Length)

 

时间戳 (Timestamp)

 

IPv4 地址 (IPv4 Addresses)

用户

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

用户名...(User Name...)

域

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

域...(Domain...)

 

用户 ID (User ID)

 

领域 ID (Realm ID)

 

终端配置文件 ID (Endpoint Profile ID)

 

安全组 ID (Security Group ID)

 

协议 (Protocol)

电子邮件

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电子邮件...(Email...)

 

IPv6 地址 (IPv6 Address)

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)

 

位置 IPv6 地址 (Location IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)（续）

报告者 (Reported By)

登录类型
(Login Type)

身份验证类型 (Auth. Type)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

报告者...(Reported By...)

下表对用户登录信息数据块的组件进行了说明。

 

表 B-22 用户登录信息数据块字段

字段
数据类型
说明

用户登录信息块类型 (User Login Information Block Type)

uint32

启动用户登录信息数据块。在版本 6.0.x 中，此值为 159 。

用户登录信息块长度 (User Login Information Block Length)

uint32

用户登录信息数据块中的字节总数，包括用户登录信息块类型和长度字段的八个字节，加上随后的用户登录信息数据中的字节数。

时间戳 (Timestamp)

uint32

事件的时间戳。

IPv4 地址
(IPv4 Addresses)

uint32

保留此字段，但不再填充。IPv4 地址存储在 IPv6 地址字段中。有关详细信息，请参阅IP 地址。

字符串块类型 (String Block Type)

uint32

启动包含用户的用户名的字符串数据块。 值 始终为 0。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上用户名中的字节数。

用户名 (Username)

字符串

用户的用户名。

字符串块类型 (String Block Type)

uint32

启动包含域的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上域中的字节数。

域 (Domain)

字符串

用户登录的域。

用户 ID (User ID)

uint32

用户的标识号。

领域 ID (Realm ID)

uint32

与身份领域对应的整数 ID。

终端配置文件 ID (Endpoint Profile ID)

uint32

连接终端使用的设备类型的 ID 号码。这是每个 DC 特有的，在元数据中进行解析。

安全组 ID (Security Group ID)

uint32

网络流量组的 ID 号码。

协议 (Protocol)

uint32

用于检测或报告用户的协议。可能的值如下：

  • 165 - FTP
  • 426 - SIP
  • 547 - AOL 即时通信工具
  • 683 - IMAP
  • 710 - LDAP
  • 767 - NTP
  • 773 - Oracle 数据库
  • 788 - POP3
  • 1755 - MDNS

字符串块类型 (String Block Type)

uint32

启动包含用户的邮件地址的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

电子邮件地址字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电子邮件地址中的字节数。

电子邮件 (Email)

字符串

用户的邮件地址。

IPv6 地址
(IPv6 Address)

uint8[16]

检测到用户登录的主机的 IPv6 地址，采用 IP 地址八位组。

位置 IPv6 地址 (Location IPv6 Address)

uint8[16]

用户最新登录的 IP 地址。可以是 IPv4 或 IPv6 地址。

登录类型
(Login Type)

uint8

检测到的用户登录类型。

身份验证类型 (Authentication Type)

uint8

用户使用的身份验证类型。值可能是：

  • 0 - 无需授权
  • 1 - 被动身份验证、AD 代理或 ISE 会话
  • 2 - 强制网络门户身份验证成功
  • 3 - 强制网络门户访客身份验证
  • 4 - 强制网络门户身份验证失败

字符串块类型 (String Block Type)

uint32

启动包含报告者值的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

报告者字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上“报告者”(Reported By) 字段中的字节数。

报告者
(Reported By)

字符串

报告登录的 Active Directory 服务器的名称。

用户登录信息数据块 6.1.x

在版本 6.1+ 中，用户登录信息数据块的块类型为系列 1 数据块组中的 165。它具有新的端口和隧道字段。它替代块类型 159。有关详细信息，请参阅用户登录信息数据块 6.0.x。它被块类型 167 替代。

下图显示用户登录信息数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户登录信息块类型 (165) (User Login Information Block Type (159))

 

用户登录信息块长度 (User Login Information Block Length)

 

时间戳 (Timestamp)

 

IPv4 地址 (IPv4 Addresses)

用户

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

用户名...(User Name...)

域

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

域...(Domain...)

 

用户 ID (User ID)

 

领域 ID (Realm ID)

 

终端配置文件 ID (Endpoint Profile ID)

 

安全组 ID (Security Group ID)

 

协议 (Protocol)

 

端口 (Port)

范围开始 (Range Start)

 

开始端口 (Start Port)

结束端口 (End Port)

电子邮件

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电子邮件...(Email...)

 

IPv6 地址 (IPv6 Address)

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)

 

位置 IPv6 地址 (Location IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)（续）

报告者 (Reported By)

登录类型
(Login Type)

身份验证类型 (Auth. Type)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度 (String Block Length)

字符串块长度 (String Block Length)（续）

报告者...(Reported By...)

下表对用户登录信息数据块的组件进行了说明。

 

表 B-23 用户登录信息数据块字段

字段
数据类型
说明

用户登录信息块类型 (User Login Information Block Type)

uint32

启动用户登录信息数据块。在版本 6.1+ 中，此值为 165 。

用户登录信息块长度 (User Login Information Block Length)

uint32

用户登录信息数据块中的字节总数，包括用户登录信息块类型和长度字段的八个字节，加上随后的用户登录信息数据中的字节数。

时间戳 (Timestamp)

uint32

事件的时间戳。

IPv4 地址 (IPv4 Addresses)

uint32

保留此字段，但不再填充。IPv4 地址存储在 IPv6 地址字段中。有关详细信息，请参阅IP 地址。

字符串块类型 (String Block Type)

uint32

启动包含用户的用户名的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上用户名中的字节数。

用户名 (Username)

字符串

用户的用户名。

字符串块类型 (String Block Type)

uint32

启动包含域的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上域中的字节数。

域 (Domain)

字符串

用户登录的域。

用户 ID (User ID)

uint32

用户的标识号。

领域 ID (Realm ID)

uint32

与身份领域对应的整数 ID。

终端配置文件 ID (Endpoint Profile ID)

uint32

连接终端使用的设备类型的 ID 号码。这是每个 DC 特有的，在元数据中进行解析。

安全组 ID (Security Group ID)

uint32

网络流量组的 ID 号码。

协议 (Protocol)

uint32

用于检测或报告用户的协议。可能的值如下：

  • 165 - FTP
  • 426 - SIP
  • 547 - AOL 即时通信工具
  • 683 - IMAP
  • 710 - LDAP
  • 767 - NTP
  • 773 - Oracle 数据库
  • 788 - POP3
  • 1755 - MDNS

端口 (Port)

uint16

在其上检测到用户的端口号。

范围开始
(Range Start)

uint16

TS 代理使用的端口范围内的起始端口。

开始端口
(Start Port)

uint16

TS 代理分配给单个用户的端口范围内的起始端口。

结束端口 (End Port)

uint16

TS 代理分配给单个用户的端口范围内的结束端口。

字符串块类型 (String Block Type)

uint32

启动包含用户的邮件地址的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

电子邮件地址字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电子邮件地址中的字节数。

电子邮件 (Email)

字符串

用户的邮件地址。

IPv6 地址
(IPv6 Address)

uint8[16]

检测到用户登录的主机的 IPv6 地址，采用 IP 地址八位组。

位置 IPv6 地址 (Location IPv6 Address)

uint8[16]

用户最新登录的 IP 地址。可以是 IPv4 或 IPv6 地址。

登录类型
(Login Type)

uint8

检测到的用户登录类型。

身份验证类型 (Authentication Type)

uint8

用户使用的身份验证类型。值可能是：

  • 0 - 无需授权
  • 1 - 被动身份验证、AD 代理或 ISE 会话
  • 2 - 强制网络门户身份验证成功
  • 3 - 强制网络门户访客身份验证
  • 4 - 强制网络门户身份验证失败

字符串块类型 (String Block Type)

uint32

启动包含报告者值的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

报告者字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上“报告者”(Reported By) 字段中的字节数。

报告者 (Reported By)

字符串

报告登录的 Active Directory 服务器的名称。

用户登录信息数据块 6.1.x

用户登录信息数据块在用户信息更新消息中使用，传送检测到的用户的登录信息变更。有关详细信息，请参阅用户信息更新消息块。

在版本 6.1x 中，用户登录信息数据块的块类型为系列 1 数据块组中的 165。它具有新的端口和隧道字段。它替代块类型 159。它被块类型 167 替代。用户登录信息数据块 6.0.x有关详细信息，请参阅。

下图显示用户登录信息数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户登录信息块类型 (User Login Information Block Type) (165))

 

用户登录信息块长度 (User Login Information Block Length)

 

时间戳 (Timestamp)

 

IPv4 地址 (IPv4 Addresses)

用户

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

用户名...(User Name...)

域

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

域...(Domain...)

 

用户 ID (User ID)

 

领域 ID (Realm ID)

 

终端配置文件 ID (Endpoint Profile ID)

 

安全组 ID (Security Group ID)

 

协议 (Protocol)

 

端口 (Port)

范围开始 (Range Start)

 

开始端口 (Start Port)

结束端口 (End Port)

电子邮件

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电子邮件...(Email...)

 

IPv6 地址 (IPv6 Address)

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

IPv6 地址 (IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)

 

位置 IPv6 地址 (Location IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)（续）

 

位置 IPv6 地址 (Location IPv6 Address)（续）

报告者 (Reported By)

登录类型
(Login Type)

身份验证类型 (Auth. Type)

字符串块类型 (0) (String Block Type (0))

字符串块类型 (0) (String Block Type (0))（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

报告者...(Reported By...)

域

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

说明...(Description...)

下表对用户登录信息数据块的组件进行了说明。

 

表 B-24 用户登录信息数据块字段

字段
数据类型
说明

用户登录信息块类型 (User Login Information Block Type)

uint32

启动用户登录信息数据块。在版本 6.2+ 中，此值为 165 。

用户登录信息块长度 (User Login Information Block Length)

uint32

用户登录信息数据块中的字节总数，包括用户登录信息块类型和长度字段的八个字节，加上随后的用户登录信息数据中的字节数。

时间戳 (Timestamp)

uint32

事件的时间戳。

IPv4 地址
(IPv4 Addresses)

uint32

保留此字段，但不再填充。IPv4 地址存储在 IPv6 地址字段中。有关详细信息，请参阅IP 地址。

字符串块类型 (String Block Type)

uint32

启动包含用户的用户名的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上用户名中的字节数。

用户名 (Username)

字符串

用户的用户名。

字符串块类型 (String Block Type)

uint32

启动包含域的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上域中的字节数。

域 (Domain)

字符串

用户登录的域。

用户 ID (User ID)

uint32

用户的标识号。

领域 ID (Realm ID)

uint32

与身份领域对应的整数 ID。

终端配置文件 ID (Endpoint Profile ID)

uint32

连接终端使用的设备类型的 ID 号码。这是每个 DC 特有的，在元数据中进行解析。

安全组 ID (Security Group ID)

uint32

网络流量组的 ID 号码。

协议 (Protocol)

uint32

用于检测或报告用户的协议。可能的值如下：

  • 165 - FTP
  • 426 - SIP
  • 547 - AOL 即时通信工具
  • 683 - IMAP
  • 710 - LDAP
  • 767 - NTP
  • 773 - Oracle 数据库
  • 788 - POP3
  • 1755 - MDNS

端口 (Port)

uint16

在其上检测到用户的端口号。

范围开始
(Range Start)

uint16

TS 代理使用的端口范围内的起始端口。

开始端口 (Start Port)

uint16

TS 代理分配给单个用户的端口范围内的起始端口。

结束端口 (End Port)

uint16

TS 代理分配给单个用户的端口范围内的结束端口。

字符串块类型 (String Block Type)

uint32

启动包含用户的邮件地址的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

电子邮件地址字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电子邮件地址中的字节数。

电子邮件 (Email)

字符串

用户的邮件地址。

IPv6 地址
(IPv6 Address)

uint8[16]

检测到用户登录的主机的 IPv6 地址，采用 IP 地址八位组。

位置 IPv6 地址 (Location IPv6 Address)

uint8[16]

用户最新登录的 IP 地址。可以是 IPv4 或 IPv6 地址。

登录类型
(Login Type)

uint8

检测到的用户登录类型。

身份验证类型 (Authentication Type)

uint8

用户使用的身份验证类型。值可能是：

  • 0 - 无需授权
  • 1 - 被动身份验证、AD 代理或 ISE 会话
  • 2 - 强制网络门户身份验证成功
  • 3 - 强制网络门户访客身份验证
  • 4 - 强制网络门户身份验证失败

字符串块类型 (String Block Type)

uint32

启动包含报告者值的字符串数据块。值始终为 0。

字符串块长度
(String Block Length)

uint32

报告者字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上“报告者”(Reported By) 字段中的字节数。

报告者
(Reported By)

字符串

报告登录的 Active Directory 服务器的名称。

用于 5.x 的用户信息数据块

用户信息数据块在用户修改消息中使用，传送检测到、删除或丢弃的用户的信息。有关详细信息，请参阅用户修改消息

在版本 4.7 - 4.10.x 中，用户信息数据块的块类型为系列 1 数据块组中的 75，在版本 5.x 中，块类型为系列 1 数据块组中的 120。块类型 75 与块类型 120 的结构相同。

下图显示用户信息数据块的格式：

 

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

用户信息块类型 (75 | 120) (User Information Block Type (75 | 120))

 

用户信息块长度 (User Information Block Length)

 

用户 ID (User ID)

用户

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

用户名... (User Name...)

 

协议 (Protocol)

第一页

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

名字...(First Name...)

最后一页

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

姓氏...(Last Name...)

电子邮件

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电子邮件...(Email...)

部门

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

部门...(Department...)

电话

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

电话...(Phone...)

下表对用户信息数据块的组件进行了说明。

 

表 B-25 用户信息数据块字段

字段
数据类型
说明

用户信息块类型 (User Information Block Type)

uint32

启动用户信息数据块。在版本 4.7 - 4.10.x 中，此值为 75 ，
在版本 5.0+ 中，此值为 120 。

用户信息块长度 (User Information Block Length)

uint32

用户信息数据块中的字节总数，包括用户信息块类型和长度字段的八个字节，加上随后的用户信息数据中的字节数。

用户 ID (User ID)

uint32

用户的标识号。

字符串块类型 (String Block Type)

uint32

启动包含用户的用户名的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户名字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上用户名中的字节数。

用户名 (Username)

字符串

用户的用户名。

协议 (Protocol)

uint32

用于包含用户信息的数据包的协议。

字符串块类型 (String Block Type)

uint32

启动包含用户的名字的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

名字字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上名字中的字节数。

名字 (First Name)

字符串

用户的名字。

字符串块类型 (String Block Type)

uint32

启动包含用户的姓氏的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用户姓氏字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上姓氏中的字节数。

姓氏 (Last Name)

字符串

用户的姓氏。

字符串块类型 (String Block Type)

uint32

启动包含用户的邮件地址的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

电子邮件地址字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电子邮件地址中的字节数。

电子邮件 (Email)

字符串

用户的邮件地址。

字符串块类型 (String Block Type)

uint32

启动包含用户所在部门的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

部门字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上部门中的字节数。

部门 (Dept)

字符串

用户所在部门。

字符串块类型 (String Block Type)

uint32

启动包含用户的电话号码的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

电话号码字符串数据块中的字节数，包括块类型和长度字段的八个字节，加上电话号码中的字节数。

电话 (Phone)

字符串

用户的电话号码。

旧版主机配置文件数据块

有关详细信息，请参阅以下各节：

用于 5.0 - 5.0.2 的主机配置文件数据块

下图显示版本 5.0 至 5.0.2 中主机配置文件数据块的格式。主机配置文件数据块也不包含主机临界值，但包含 VLAN 在线状态指示器。此外，主机配置文件数据块可以传输主机的 NetBIOS 名称。此主机配置文件数据块的块类型为 91。

注 下图中块类型字段旁边的星号 (*) 表示该消息可能包含零个或多个系列 1 数据块实例。

 

字节

0

1

2

3

 

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

 

主机配置文件块类型 (91) (Host Profile Block Type (91))

 

 

主机配置文件块长度 (Host Profile Block Length)

 

 

IP 地址 (IP Addresses)

 

服务器

指纹

跳数 (Hops)

主要/次要 (Primary/Secondary)

通用列表块类型 (31)
(Generic List Block Type (31))

 

通用列表块类型 (Generic List Block Type)（续）

通用列表块长度 (Generic List Block Length)

 

通用列表块长度 (Generic List Block Length)（续）

服务器指纹数据块
(Server Fingerprint Data Blocks)*

 

客户端

指纹

通用列表块类型 (31) (Generic List Block Type (31))

 

通用列表块长度 (Generic List Block Length)

 

客户端指纹数据块 (Client Fingerprint Data Blocks)*

 

中小企业

指纹

通用列表块类型 (31) (Generic List Block Type (31))

 

通用列表块长度 (Generic List Block Length)

 

SMB 指纹数据块 (SMB Fingerprint Data Blocks)*

 

DHCP

指纹

通用列表块类型 (31) (Generic List Block Type (31))

 

通用列表块长度 (Generic List Block Length)

 

DHCP 指纹数据块 (DHCP Fingerprint Data Blocks)*

 

 

列表块类型 (11) (List Block Type (11))

TCP 服务器列表 (List of TCP Servers)

 

列表块长度 (List Block Length)

TCP 服务器
块 (TCP Server Block)*

服务器块类型 (36) (Server Block Type (36))

服务器块长度 (Server Block Length)

TCP 服务器数据... (TCP Server Data...)

 

列表块类型 (11) (List Block Type (11))

UDP 服务器列表 (List of UDP Servers)

 

列表块长度 (List Block Length)

UDP 服务器
块 (TCP Server Block)*

服务器块类型 (36) (Server Block Type (36))*

服务器块长度 (Server Block Length)

UDP 服务器数据... (UDP Server Data...)

 

列表块类型 (11) (List Block Type (11))

网络协议列表 (List of Network Protocols)

 

列表块长度 (List Block Length)

网络
协议块 (Network Protocol Block)*

协议块类型 (4) (Protocol Block Type (4))*

协议块长度 (Protocol Block Length)

网络协议数据... (Network Protocol Data...)

 

列表块类型 (11) (List Block Type (11))

传输协议列表 (List of Transport Protocols)

 

列表块长度 (List Block Length)

传输
协议块 (Transport Protocol Block)*

协议块类型 (4) (Protocol Block Type (4))*

协议块长度 (Protocol Block Length)

传输协议数据... (Transport Protocol Data...)

 

列表块类型 (11) (List Block Type (11))

MAC 地址列表 (List of MAC Addresses)

 

列表块长度 (List Block Length)

MAC 地址
块 (MAC Address Block)*

MAC 地址块类型 (95) (MAC Address Block Type (95))*

MAC 地址块长度 (MAC Address Block Length)

MAC 地址数据... (MAC Address Data...)

 

主机上次查看时间 (Host Last Seen)

 

 

主机类型 (Host Type)

 

 

VLAN 在线状态 (VLAN Presence)

VLAN ID

VLAN 类型
(VLAN Type)

 

 

VLAN 优先级 (VLAN Priority)

通用列表块类型 (31) (Generic List Block Type (31))

客户端应用列表

 

通用列表块类型 (Generic List Block Type)（续）

通用列表块长度 (Generic List Block Length)

客户端应用数据 (Client App Data)

通用列表块长度 (Generic List Block Length)（续）

客户端应用块类型 (112) (Client Application Block Type (112))*

客户端应用块类型 (29) (Client App Block Type (29))*（续）

客户端应用块长度 (Client Application Block Length)

客户端应用块长度 (Client Application Block Length)（续）

客户端应用数据... (Client Application Data...)

NetBIOS
名称

字符串块类型 (0) (String Block Type (0))

 

字符串块长度
(String Block Length)

NetBIOS 字符串数据...(NetBIOS String Data...)

下表对由版本 4.9 返回到版本 5.0.2 的主机配置文件数据块的字段进行了说明。

 

表 B-26 用于 5.0 - 5.0.2 的主机配置文件数据块字段

字段
数据类型
说明

主机配置文件块类型 (Host Profile Block Type)

uint32

启动用于 4.9 至 5.0.2 的主机配置文件数据块。此数据块的块类型为 91 。

主机配置文件块长度 (Host Profile Block Length)

uint32

主机配置文件数据块中的字节数，包括主机配置文件块类型和长度字段的八个字节，加上随后的主机配置文件数据中的字节数。

IP 地址
(IP Addresses)

uint8[4]

配置文件中描述的主机的 IP 地址，采用 IP 地址八位组。

跳数 (Hops)

uint8

从主机到设备的跳数。

主/辅助 (Primary/Secondary)

uint8

表示主机是位于检测到其的设备的主网络中还是辅助网络中：

  • 0 - 主机位于主网络中。
  • 1 - 主机位于辅助网络中。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送用服务器指纹识别的指纹数据的操作系统指纹数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装操作系统指纹数据块。

操作系统指纹（服务器指纹）数据块 (Operating System Fingerprint (Server Fingerprint) Data Blocks) *

变量

包含用服务器指纹识别的主机上的操作系统相关信息的操作系统指纹数据块。有关此数据块的说明，请参阅用于 5.0 - 5.0.2 的操作系统指纹数据块。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送用客户端指纹识别的指纹数据的操作系统指纹数据块组成的通用列表数据块。值始终为 31。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装操作系统指纹数据块。

操作系统指纹（客户端指纹）数据块 (Operating System Fingerprint (Client Fingerprint) Data Blocks) *

变量

包含用客户端指纹识别的主机上的操作系统相关信息的操作系统指纹数据块。有关此数据块的说明，请参阅用于 5.0 - 5.0.2 的操作系统指纹数据块。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送用 SMB 指纹识别的指纹数据的操作系统指纹数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装操作系统指纹数据块。

操作系统指纹（SMB 指纹）数据块 (Operating System Fingerprint (SMB Fingerprint) Data Blocks) *

变量

包含用 SMB 指纹识别的主机上的操作系统相关信息的操作系统指纹数据块。有关此数据块的说明，请参阅用于 5.0 - 5.0.2 的操作系统指纹数据块。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送用 DHCP 指纹识别的指纹数据的操作系统指纹数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装操作系统指纹数据块。

操作系统指纹（DHCP 指纹）数据块 (Operating System Fingerprint (DHCP Fingerprint) Data Blocks) *

变量

包含用 DHCP 指纹识别的主机上的操作系统相关信息的操作系统指纹数据块。有关此数据块的说明，请参阅用于 5.0 - 5.0.2 的操作系统指纹数据块。

列表块类型 (List Block Type)

uint32

启动由传送 TCP 服务器数据的服务器数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数。此字节数包括列表块类型和长度字段的八个字节，加上所有封装服务器数据块。

此字段后面是零个或多个服务器数据块。

服务器块类型 (Server Block Type)

uint32

启动服务器数据块。值始终为 89 。

服务器块长度 (Server Block Length)

uint32

服务器数据块中的字节数，包括服务器块类型和长度字段的八个字节，加上随后的 TCP 服务器数据的字节数。

TCP 服务器数据 (TCP Server Data)

变量

描述 TCP 服务器的数据字段（按照产品早期版本的记录）。

列表块类型 (List Block Type)

uint32

启动由传送 UDP 服务器数据的服务器数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数。此字节数包括列表块类型和长度字段的八个字节，加上所有封装服务器数据块。

此字段后面是零个或多个服务器数据块。

服务器块类型 (Server Block Type)

uint32

启动描述 UDP 服务器的服务器数据块。值始终为 89 。

服务器块长度 (Server Block Length)

uint32

服务器数据块中的字节数，包括服务器块类型和长度字段的八个字节，加上随后的 UDP 服务器数据的字节数。

UDP 服务器数据 (UDP Server Data)

变量

描述 UDP 服务器的数据字段（按照产品早期版本的记录）。

列表块类型 (List Block Type)

uint32

启动由传送网络协议数据的协议数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数。此字节数包括列表块类型和长度字段的八个字节，加上所有封装协议数据块。

此字段后面是零个或多个协议数据块。

协议块类型 (Protocol Block Type)

uint32

启动描述网络协议的协议数据块。值始终为 4 。

协议块长度 (Protocol Block Length)

uint32

协议数据块中的字节数，包括协议块类型和长度字段的八个字节，加上随后的协议数据中的字节数。

网络协议数据 (Network Protocol Data)

uint16

包含网络协议号的数据字段，如协议数据块
中所记录。

列表块类型 (List Block Type)

uint32

启动由传送传输协议数据的协议数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数。此字节数包括列表块类型和长度字段的八个字节，加上所有封装协议数据块。

此字段后面是零个或多个传输协议数据块。

协议块类型 (Protocol Block Type)

uint32

启动描述传输协议的协议数据块。值始终为 4 。

协议块长度 (Protocol Block Length)

uint32

协议数据块中的字节数，包括协议块类型和长度的八个字节，
加上随后的协议数据中的字节数。

传输协议数据 (Transport Protocol Data)

变量

包含传输协议号的数据字段，如协议数据块
中所记录。

列表块类型 (List Block Type)

uint32

启动由 MAC 地址数据块组成的列表数据块。值始终为 11 。

列表块长度 (List Block Length)

uint32

列表中的字节数，包括列表报头以及所有封装 MAC
地址数据块。

主机 MAC 地址块类型 (Host MAC Address Block Type)

uint32

启动主机 MAC 地址数据块。值始终为 95 。

主机 MAC 地址块长度 (Host MAC Address Block Length)

uint32

主机 MAC 地址数据块中的字节数，包括主机 MAC 地址块类型和长度字段的八个字节，加上随后的主机 MAC 地址数据中的字节数。

主机 MAC 地址数据 (Host MAC Address Data)

变量

主机 MAC 地址 4.9+中描述的主机 MAC 地址数据字段。

主机上次查看时间 (Host Last Seen)

uint32

表示系统上次检测到主机活动的 UNIX 时间戳。

主机类型 (Host Type)

uint32

表示主机类型。可能会出现以下值：

  • 0 - 主机
  • 1 - 路由器
  • 2 - 网桥
  • 3 - NAT 设备
  • 4 - LB（负载均衡器）

VLAN 在线状态 (VLAN Presence)

uint8

表示是否存在 VLAN：

  • 0 - 是
  • 1 - 否

VLAN ID

uint16

表示主机所属 VLAN 的 VLAN 标识号。

VLAN 类型 (VLAN Type)

uint8

VLAN 标签中封装的数据包类型。

VLAN 优先级 (VLAN Priority)

uint8

VLAN 标签中包含的优先级值。

通用列表块类型 (Generic List Block Type)

uint32

启动由传送客户端应用数据的客户端应用数据块组成的通用列表数据块。值始终为 31 。

通用列表块长度 (Generic List Block Length)

uint32

通用列表数据块中的字节数，包括列表报头以及所有封装客户端应用数据块。

客户端应用块类型 (Client Application Block Type)

uint32

启动客户端应用块。值始终为 5 。

客户端应用块长度 (Client Application Block Length)

uint32

客户端应用块中的字节数，包括客户端应用块类型和长度字段的八个字节，加上随后的客户端应用数据中的字节数。

客户端应用数据 (Client Application Data...)

变量

描述客户端应用的客户端应用数据字段，如用于 5.0+ 的主机客户端应用数据块中所记录。

字符串块类型 (String Block Type)

uint32

启动 NetBIOS 名称的字符串数据块。此值设置为 0 以表示字符串数据。

字符串块长度
(String Block Length)

uint32

表示 NetBIOS 名称字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上 NetBIOS 名称的字节数。

NetBIOS 字符串数据 (NetBIOS String Data)

变量

包含主机配置文件中描述的主机的 NetBIOS 名称。

旧版操作系统指纹数据块

有关详细信息，请参阅以下各节：

用于 5.0 - 5.0.2 的操作系统指纹数据块

操作系统指纹数据块的块类型为 87。块包括指纹通用唯一标识符 (UUID) 以及指纹类型、指纹源类型和指纹源 ID。下图显示用于版本 5.0 至版本 5.0.2 的操作系统指纹数据块的格式。

 

字节

0

1

2

3

 

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

 

操作系统指纹块类型 (87) (Operating System Fingerprint Block Type (87))

 

 

操作系统指纹块长度 (Operating System Fingerprint Block Length)

 

操作系
统指纹

UUID

指纹 UUID (Fingerprint UUID)

 

指纹 UUID (Fingerprint UUID)（续）

 

指纹 UUID (Fingerprint UUID)（续）

 

指纹 UUID (Fingerprint UUID)（续）

 

 

指纹类型 (Fingerprint Type)

 

 

指纹源类型 (Fingerprint Source Type)

 

 

指纹源 ID (Fingerprint Source ID)

 

 

指纹的上次查看时间值 (Last Seen Value for Fingerprint)

 

 

TTL 差值 (TTL Difference)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

下表对操作系统指纹数据块的字段进行了说明。

 

表 B-27 操作系统指纹数据块字段

字段
数据类型
说明

操作系统指纹数据块类型 (Operating System Fingerprint Data Block Type)

uint32

启动操作系统数据块。值始终为 87 。

操作系统数据块长度 (Operating System Data Block Length)

uint32

操作系统指纹数据块中的字节数。此值应始终为 41 ：数据块类型和长度字段的八个字节，指纹 UUID 值的十六个字节，指纹类型的四个字节，指纹源类型的四个字节，指纹源 ID 的四个字节，上次查看时间值的四个字节以及 TTL 差值的一个字节。

指纹 UUID (Fingerprint UUID)

uint8[16]

采用八位组的指纹识别号，用作操作系统的唯一标识符。指纹 UUID 映射到漏洞数据库 (VDB) 中的操作系统名称、供应商和版本。

指纹类型 (Fingerprint Type)

uint32

表示指纹的类型。

指纹源类型 (Fingerprint Source Type)

uint32

表示提供操作系统指纹的源的类型（即用户或扫描仪）。

指纹源 ID (Fingerprint Source ID)

uint32

表示提供操作系统指纹的源的 ID。

上次查看时间
(Last Seen)

uint32

表示上次在流量中看到指纹的时间。

TTL 差值
(TTL Difference)

uint8

表示指纹中的 TTL 值与在用于采集主机指纹的数据包中看到的 TTL 值之间的差值。

旧版连接数据结构

有关详细信息，请参阅以下各节：

连接统计信息数据块 5.0 - 5.0.2

连接统计信息数据块在连接数据消息中使用。用于版本 5.0 - 5.0.2 的连接统计信息数据块的块类型为 115。

有关连接统计信息数据消息的详细信息，请参阅连接统计信息数据消息。

下图显示用于 5.0 - 5.0.2 的连接统计信息数据块的格式：

::

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

连接数据块类型 (115) (Connection Data Block Type (115))

 

连接数据块长度 (Connection Data Block Length)

 

设备 ID (Device ID)

 

入口区 (Ingress Zone)

 

入口区 (Ingress Zone)（续）

 

入口区 (Ingress Zone)（续）

 

入口区 (Ingress Zone)（续）

 

出口区 (Egress Zone)

 

出口区 (Egress Zone)（续）

 

出口区 (Egress Zone)（续）

 

出口区 (Egress Zone)（续）

 

入口接口 (Ingress Interface)

 

入口接口 (Ingress Interface)（续）

 

入口接口 (Ingress Interface)（续）

 

入口接口 (Ingress Interface)（续）

 

出口接口 (Egress Interface)

 

出口接口 (Egress Interface)（续）

 

出口接口 (Egress Interface)（续）

 

出口接口 (Egress Interface)（续）

 

发起方 IP 地址 (Initiator IP Address)

 

发起方 IP 地址 (Initiator IP Address)（续）

 

发起方 IP 地址 (Initiator IP Address)（续）

 

发起方 IP 地址 (Initiator IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)

 

响应方 IP 地址 (Responder IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)（续）

 

策略修订 (Policy Revision)

 

策略修订 (Policy Revision)（续）

 

策略修订 (Policy Revision)（续）

 

策略修订 (Policy Revision)（续）

 

规则 ID (Rule ID)

 

规则操作 (Rule Action)

 

发起方端口 (Initiator Port)

响应方端口 (Responder Port)

 

TCP 标志 (TCP Flags)

协议 (Protocol)

NetFlow 源
(NetFlow Source)

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

 

NetFlow 源 (NetFlow Source)（续）

第一个数据包时间 (First Pkt Time)

 

第一个数据包时间戳 (First Packet Timestamp)（续）

最后一个数据包时间 (Last Pkt Time)

 

最后一个数据包时间戳 (Last Packet Timestamp)（续）

发送的数据包数 (Packets Sent)

 

发送的数据包数 (Packets Sent)（续）

 

发送的数据包数 (Packets Sent)（续）

接收的数据包数 (Packets Rcvd)

 

接收的数据包数 (Packets Received)（续）

 

接收的数据包数 (Packets Received)（续）

发送的字节数 (Bytes Sent)

 

发送的字节数 (Bytes Sent)（续）

 

接收的数据包数 (Packets Received)（续）

接收的字节数 (Bytes Rcvd)

 

接收的字节数 (Bytes Received)（续）

 

接收的字节数 (Bytes Received)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

应用协议 ID (Application Protocol ID)

 

应用协议 ID (Application Protocol ID)（续）

URL 类别 (URL Category)

 

URL 类别 (URL Category)（续）

URL 信誉 (URL Reputation)

 

URL 信誉 (URL Reputation)（续）

客户端应用 ID (Client App ID)

 

客户端应用 ID (Client Application ID)（续）

Web 应用 ID (Web App ID)

 

Web 应用 ID (Web Application ID)（续）

字符串块类型 (0) (String Block Type (0))

客户端

应用 URL (Client App URL)

字符串块类型 (String Block Type)（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

客户端应用 URL... (Client Application URL...)

NetBIOS

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

NetBIOS 名称.... (NetBIOS Name....)

客户端

应用版本 (Client App Version)

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

客户端应用版本...(Client Application Version...)

下表对用于 5.0 - 5.0.2 的连接统计信息数据块的字段进行了说明。

 

表 B-28 连接统计信息数据块 5.0 - 5.0.2 字段

字段
数据类型
说明

连接统计信息数据块类型 (Connection Statistics Data Block Type)

uint32

启动用于 5.0 至 5.0.2 的连接统计信息数据块。值始终为 115 。

连接统计信息数据块长度 (Connection Statistics Data Block Length)

uint32

连接统计信息数据块中的字节数，包括连接统计信息块类型和长度字段的八个字节，加上随后的连接数据中的字节数。

设备 ID
(Device ID)

uint32

检测到连接事件的设备。

入口区
(Ingress Zone)

uint8[16]

触发策略违规的事件的入口安全区。

出口区
(Egress Zone)

uint8[16]

触发策略违规的事件的出口安全区。

入口接口 (Ingress Interface)

uint8[16]

用于入站流量的接口。

出口接口 (Egress Interface)

uint8[16]

用于出站流量的接口。

发起方 IP 地址 (Initiator IP Address)

uint8[16]

发起连接事件中描述的会话的主机的 IP 地址，采用 IP 地址八
位组。

响应方 IP 地址 (Responder IP Address)

uint8[16]

响应发起主机的主机的 IP 地址，采用 IP 地址八位组。

策略修订 (Policy Revision)

uint8[16]

与触发的关联事件相关的规则版本号（如适用）。

规则 ID
(Rule ID)

uint32

触发事件的规则的内部标识符（如适用）。

规则操作
(Rule Action)

uint32

在用户界面中选择的针对该规则的操作（允许、阻止等）。

发起方端口 (Initiator Port)

uint16

发起主机使用的端口。

响应方端口 (Responder Port)

uint16

响应主机使用的端口。

TCP 标志
(TCP Flags)

uint16

表示连接事件的任何 TCP 标志。

协议 (Protocol)

uint8

IANA 指定的协议号。

NetFlow 源 (NetFlow Source)

uint8[16]

导出连接数据的支持 NetFlow 的设备的 IP 地址

第一个数据包时间戳
(First Packet Timestamp)

uint32

在会话中交换第一个数据包的日期和时间的 UNIX 时间戳。

最后一个数据包时间戳
(Last Packet Timestamp)

uint32

在会话中交换最后一个数据包的日期和时间的 UNIX 时间戳。

发送的数据包数 (Packets Sent)

uint64

发起主机传输的数据包数。

接收的数据包数 (Packets Received)

uint64

响应主机传输的数据包数。

发送的字节数 (Bytes Sent)

uint64

发起主机传输的字节数。

接收的字节数 (Bytes Received)

uint64

响应主机传输的字节数。

用户 ID
(User ID)

uint32

最后登录到生成流量的主机的用户的内部标识号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的应用 ID。

URL 类别 (URL Category)

uint32

URL 类别的内部标别号。

URL 信誉 (URL Reputation)

uint32

URL 信誉的内部标识号。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

字符串块类型 (String Block Type)

uint32

启动客户端应用 URL 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

客户端应用 URL 字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上客户端应用 URL 字符串中的字节数。

客户端应用 URL (Client Application URL)

字符串

客户端应用访问的 URL（如适用）
（例如， /files/index.html ）。

字符串块类型 (String Block Type)

uint32

启动主机 NetBIOS 名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上 NetBIOS 名称字符串中的字节数。

NetBIOS 名称 (NetBIOS Name)

字符串

主机 NetBIOS 名称字符串。

字符串块类型 (String Block Type)

uint32

启动客户端应用版本的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用于客户端应用版本的字符串数据块中的字节数，包括字符串块类型和长度的八个字节，加上版本中的字节数。

客户端应用版本 (Client Application Version)

字符串

客户端应用版本。

连接统计信息数据块 5.1

连接统计信息数据块在连接数据消息中使用。5.0.2 到 5.1 的连接数据块变更包括添加了具有 5.1 中引入的配置参数的新字段（规则操作原因、监控器规则、安全情报源/目标、安全情报层）。用于版本 5.1 的连接统计信息数据块的块类型为 126。

有关连接统计信息数据消息的详细信息，请参阅连接统计信息数据消息。

下图显示用于 5.1 的连接统计信息数据块的格式：

::

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

连接数据块类型 (126) (Connection Data Block Type (126))

 

连接数据块长度 (Connection Data Block Length)

 

设备 ID (Device ID)

 

入口区 (Ingress Zone)

 

入口区 (Ingress Zone)（续）

 

入口区 (Ingress Zone)（续）

 

入口区 (Ingress Zone)（续）

 

出口区 (Egress Zone)

 

出口区 (Egress Zone)（续）

 

出口区 (Egress Zone)（续）

 

出口区 (Egress Zone)（续）

 

入口接口 (Ingress Interface)

 

入口接口 (Ingress Interface)（续）

 

入口接口 (Ingress Interface)（续）

 

入口接口 (Ingress Interface)（续）

 

出口接口 (Egress Interface)

 

出口接口 (Egress Interface)（续）

 

出口接口 (Egress Interface)（续）

 

出口接口 (Egress Interface)（续）

 

发起方 IP 地址 (Initiator IP Address)

 

发起方 IP 地址 (Initiator IP Address)（续）

 

发起方 IP 地址 (Initiator IP Address)（续）

 

发起方 IP 地址 (Initiator IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)

 

响应方 IP 地址 (Responder IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)（续）

 

策略修订 (Policy Revision)

 

策略修订 (Policy Revision)（续）

 

策略修订 (Policy Revision)（续）

 

策略修订 (Policy Revision)（续）

 

规则 ID (Rule ID)

 

规则操作 (Rule Action)

规则原因 (Rule Reason)

 

发起方端口 (Initiator Port)

响应方端口 (Responder Port)

 

TCP 标志 (TCP Flags)

协议 (Protocol)

NetFlow 源
(NetFlow Source)

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

 

NetFlow 源 (NetFlow Source)（续）

第一个数据包时间 (First Pkt Time)

 

第一个数据包时间戳 (First Packet Timestamp)（续）

最后一个数据包时间 (Last Pkt Time)

 

最后一个数据包时间戳 (Last Packet Timestamp)（续）

发起方传输的数据包数 (Initiator Transmitted Packets)

 

发起方传输的数据包数 (Initiator Transmitted Packets)（续）

 

发起方传输的数据包数 (Initiator Transmitted Packets)（续）

响应方传输的数据包数 (Responder Transmitted Packets)

 

响应方传输的数据包数 (Responder Transmitted Packets)（续）

 

响应方传输的数据包数 (Responder Transmitted Packets)（续）

发起方传输的字节数 (Initiator Transmitted Bytes)

 

发起方传输的字节数 (Initiator Transmitted Bytes)（续）

 

发起方传输的字节数 (Initiator Transmitted Bytes)（续）

响应方传输的字节数 (Responder Transmitted Bytes)

 

响应方传输的字节数 (Responder Transmitted Bytes)（续）

 

响应方传输的字节数 (Responder Transmitted Bytes)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

应用协议 ID (Application Protocol ID)

 

应用协议 ID (Application Protocol ID)（续）

URL 类别 (URL Category)

 

URL 类别 (URL Category)（续）

URL 信誉 (URL Reputation)

 

URL 信誉 (URL Reputation)（续）

客户端应用 ID (Client App ID)

 

客户端应用 ID (Client Application ID)（续）

Web 应用 ID
(Web App ID)

 

Web 应用 ID (Web Application ID)（续）

字符串块类型 (0) (String Block Type (0))

客户端

应用 URL (Client App URL)

字符串块类型 (String Block Type)（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

客户端应用 URL... (Client Application URL...)

NetBIOS

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

NetBIOS 名称.... (NetBIOS Name....)

客户端

应用版本 (Client App Version)

字符串块类型 (0) (String Block Type (0))

字符串块长度
(String Block Length)

客户端应用版本...(Client Application Version...)

 

监控器规则 1 (Monitor Rule 1)

 

监控器规则 2 (Monitor Rule 2)

 

监控器规则 3 (Monitor Rule 3)

 

监控器规则 4 (Monitor Rule 4)

 

监控器规则 5 (Monitor Rule 5)

 

监控器规则 6 (Monitor Rule 6)

 

监控器规则 7 (Monitor Rule 7)

 

监控器规则 8 (Monitor Rule 8)

 

安全接口源/目标 (Sec. Int. Src/Dst)

安全接口代表层 (Sec. Int. Rep Layer)

 

下表对用于 5.1 的连接统计信息数据块的字段进行了说明。

 

表 B-29 连接统计信息数据块 5.1 字段

字段
数据类型
说明

连接统计信息数据块类型 (Connection Statistics Data Block Type)

uint32

启动用于 5.1 的连接统计信息数据块。值始终为 126 。

连接统计信息数据块长度 (Connection Statistics Data Block Length)

uint32

连接统计信息数据块中的字节数，包括连接统计信息块类型和长度字段的八个字节，加上随后的连接数据中的字节数。

设备 ID
(Device ID)

uint32

检测到连接事件的设备。

入口区
(Ingress Zone)

uint8[16]

触发策略违规的事件的入口安全区。

出口区
(Egress Zone)

uint8[16]

触发策略违规的事件的出口安全区。

入口接口
(Ingress Interface)

uint8[16]

用于入站流量的接口。

出口接口
(Egress Interface)

uint8[16]

用于出站流量的接口。

发起方 IP 地址 (Initiator IP Address)

uint8[16]

发起连接事件中描述的会话的主机的 IP 地址，采用 IP
地址八位组。

响应方 IP 地址 (Responder IP Address)

uint8[16]

响应发起主机的主机的 IP 地址，采用 IP 地址八位组。

策略修订
(Policy Revision)

uint8[16]

与触发的关联事件相关的规则版本号（如适用）。

规则 ID (Rule ID)

uint32

触发事件的规则的内部标识符（如适用）。

规则操作
(Rule Action)

uint16

在用户界面中选择的针对该规则的操作（允许、阻止等）。

规则原因
(Rule Reason)

uint16

规则触发事件的原因。

发起方端口 (Initiator Port)

uint16

发起主机使用的端口。

响应方端口 (Responder Port)

uint16

响应主机使用的端口。

TCP 标志
(TCP Flags)

uint16

表示连接事件的任何 TCP 标志。

协议 (Protocol)

uint8

IANA 指定的协议号。

NetFlow 源 (NetFlow Source)

uint8[16]

导出连接数据的支持 NetFlow 的设备的 IP 地址。

第一个数据包时间戳 (First Packet Timestamp)

uint32

在会话中交换第一个数据包的日期和时间的 UNIX 时间戳。

最后一个数据包时间戳 (Last Packet Timestamp)

uint32

在会话中交换最后一个数据包的日期和时间的 UNIX 时间戳。

发起方传输的数据包数 (Initiator Transmitted Packets)

uint64

发起主机传输的数据包数。

响应方传输的数据包数 (Responder Transmitted Packets)

uint64

响应主机传输的数据包数。

发起方传输的字节数 (Initiator Transmitted Bytes)

uint64

发起主机传输的字节数。

响应方传输的字节数 (Responder Transmitted Bytes)

uint64

响应主机传输的字节数。

用户 ID (User ID)

uint32

最后登录到生成流量的主机的用户的内部标识号。

应用协议 ID (Application Protocol ID)

uint32

应用协议的应用 ID。

URL 类别 (URL Category)

uint32

URL 类别的内部标别号。

URL 信誉 (URL Reputation)

uint32

URL 信誉的内部标识号。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

字符串块类型 (String Block Type)

uint32

启动客户端应用 URL 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

客户端应用 URL 字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上客户端应用 URL 字符串中的字节数。

客户端应用 URL (Client Application URL)

字符串

客户端应用访问的 URL（如适用）
（例如， /files/index.html ）。

字符串块类型 (String Block Type)

uint32

启动主机 NetBIOS 名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上 NetBIOS 名称字符串中的字节数。

NetBIOS 名称 (NetBIOS Name)

字符串

主机 NetBIOS 名称字符串。

字符串块类型 (String Block Type)

uint32

启动客户端应用版本的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用于客户端应用版本的字符串数据块中的字节数，包括字符串块类型和长度的八个字节，加上版本中的字节数。

客户端应用版本 (Client Application Version)

字符串

客户端应用版本。

监控器规则 1 (Monitor Rule 1)

uint32

与连接事件关联的第一个监控器规则的 ID。

监控器规则 2 (Monitor Rule 2)

uint32

与连接事件关联的第二个监控器规则的 ID。

监控器规则 3 (Monitor Rule 3)

uint32

与连接事件关联的第三个监控器规则的 ID。

监控器规则 4 (Monitor Rule 4)

uint32

与连接事件关联的第四个监控器规则的 ID。

监控器规则 5 (Monitor Rule 5)

uint32

与连接事件关联的第五个监控器规则的 ID。

监控器规则 6 (Monitor Rule 6)

uint32

与连接事件关联的第六个监控器规则的 ID。

监控器规则 7 (Monitor Rule 7)

uint32

与连接事件关联的第七个监控器规则的 ID。

监控器规则 8 (Monitor Rule 8)

uint32

与连接事件关联的第八个监控器规则的 ID。

安全情报源/
目标 (Security Intelligence Source/ Destination)

uint8

源或目标 IP 地址与 IP 阻止列表是否匹配。

安全情报层 (Security Intelligence Layer)

uint8

与 IP 阻止列表匹配的 IP 层。

连接统计信息数据块 5.2.x

连接统计信息数据块在连接数据消息中使用。版本 5.1.1 到版本 5.2 的连接数据块变更包括添加了用于支持地理位置的新字段。用于版本 5.2.x 的连接统计信息数据块的块类型为系列 1 数据块组中的 144。它否决了块类型 137，连接统计信息数据块 5.1.1.x。

有关连接统计信息数据消息的详细信息，请参阅连接统计信息数据消息。

下图显示用于 5.2.x 的连接统计信息数据块的格式：

::

字节

0

1

2

3

位

0

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

 

连接数据块类型 (144) (Connection Data Block Type (144))

 

连接数据块长度 (Connection Data Block Length)

 

设备 ID (Device ID)

 

入口区 (Ingress Zone)

 

入口区 (Ingress Zone)（续）

 

入口区 (Ingress Zone)（续）

 

入口区 (Ingress Zone)（续）

 

出口区 (Egress Zone)

 

出口区 (Egress Zone)（续）

 

出口区 (Egress Zone)（续）

 

出口区 (Egress Zone)（续）

 

入口接口 (Ingress Interface)

 

入口接口 (Ingress Interface)（续）

 

入口接口 (Ingress Interface)（续）

 

入口接口 (Ingress Interface)（续）

 

出口接口 (Egress Interface)

 

出口接口 (Egress Interface)（续）

 

出口接口 (Egress Interface)（续）

 

出口接口 (Egress Interface)（续）

 

发起方 IP 地址 (Initiator IP Address)

 

发起方 IP 地址 (Initiator IP Address)（续）

 

发起方 IP 地址 (Initiator IP Address)（续）

 

发起方 IP 地址 (Initiator IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)

 

响应方 IP 地址 (Responder IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)（续）

 

响应方 IP 地址 (Responder IP Address)（续）

 

策略修订 (Policy Revision)

 

策略修订 (Policy Revision)（续）

 

策略修订 (Policy Revision)（续）

 

策略修订 (Policy Revision)（续）

 

规则 ID (Rule ID)

 

规则操作 (Rule Action)

规则原因 (Rule Reason)

 

发起方端口 (Initiator Port)

响应方端口 (Responder Port)

 

TCP 标志 (TCP Flags)

协议 (Protocol)

NetFlow 源
(NetFlow Source)

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

 

Netflow 源 (Netflow Source)（续）

实例 ID (Instance ID)

 

实例 ID (Instance ID)（续）

连接计数器 (Connection Counter)

第一个数据包时间 (First Pkt Time)

 

第一个数据包时间戳 (First Packet Timestamp)（续）

最后一个数据包时间 (Last Pkt Time)

 

最后一个数据包时间戳 (Last Packet Timestamp)（续）

发起方传输的数据包数 (Initiator Transmitted Packets)

 

发起方传输的数据包数 (Initiator Transmitted Packets)（续）

 

发起方传输的数据包数 (Initiator Transmitted Packets)（续）

响应方传输的数据包数 (Resp. Tx Packets)

 

响应方传输的数据包数 (Responder Transmitted Packets)（续）

 

响应方传输的数据包数 (Responder Transmitted Packets)（续）

发起方传输的字节数 (Initiator Tx Bytes)

 

发起方传输的字节数 (Initiator Transmitted Bytes)（续）

 

发起方传输的字节数 (Initiator Transmitted Bytes)（续）

响应方传输的字节数 (Resp. Tx Bytes)

 

响应方传输的字节数 (Responder Transmitted Bytes)（续）

 

响应方传输的字节数 (Responder Transmitted Bytes)（续）

用户 ID (User ID)

 

用户 ID (User ID)（续）

应用协议 ID (Application
Protocol ID)

 

应用协议 ID (Application Protocol ID)（续）

URL 类别 (URL Category)

 

URL 类别 (URL Category)（续）

URL 信誉 (URL Reputation)

 

URL 信誉 (URL Reputation)（续）

客户端应用 ID (Client App ID)

 

客户端应用 ID (Client Application ID)（续）

Web 应用 ID (Web App ID)

客户端

URL

Web 应用 ID (Web Application ID)（续）

字符串块类型 (0) (Str. Block Type (0))

字符串块类型 (String Block Type)（续）

字符串块长度
(String Block Length)

字符串块长度
(String Block Length)（续）

客户端应用URL... (Client App. URL...)

NetBIOS

名称

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

NetBIOS 名称...(NetBIOS Name...)

客户端

应用版本 (Client App Version)

字符串块类型 (0) (String Block Type (0))

字符串块长度 (String Block Length)

客户端应用版本...(Client Application Version...)

 

监控器规则 1 (Monitor Rule 1)

 

监控器规则 2 (Monitor Rule 2)

 

监控器规则 3 (Monitor Rule 3)

 

监控器规则 4 (Monitor Rule 4)

 

监控器规则 5 (Monitor Rule 5)

 

监控器规则 6 (Monitor Rule 6)

 

监控器规则 7 (Monitor Rule 7)

 

监控器规则 8 (Monitor Rule 8)

 

安全接口源/目标 (Sec. Int. Src/Dst)

安全接口层
(Sec. Int. Layer)

文件事件计数 (File Event Count)

 

入侵事件计数 (Intrusion Event Count)

发起方国家/地区 (Initiator Country)

 

响应方国家/地区 (Responder Country)

 

下表对用于 5.2.x 的连接统计信息数据块的字段进行了说明：

 

表 B-30 连接统计信息数据块 5.2.x 字段

字段
数据类型
说明

连接统计信息数据块类型 (Connection Statistics Data Block Type)

uint32

启动用于 5.2.x 的连接统计信息数据块。值始终为 144 。

连接统计信息数据块长度 (Connection Statistics Data Block Length)

uint32

连接统计信息数据块中的字节数，包括连接统计信息块类型和长度字段的八个字节，加上随后的连接数据中的字节数。

设备 ID (Device ID)

uint32

检测到连接事件的设备。

入口区
(Ingress Zone)

uint8[16]

触发策略违规的事件的入口安全区。

出口区 (Egress Zone)

uint8[16]

触发策略违规的事件的出口安全区。

入口接口
(Ingress Interface)

uint8[16]

用于入站流量的接口。

出口接口
(Egress Interface)

uint8[16]

用于出站流量的接口。

发起方 IP 地址 (Initiator IP Address)

uint8[16]

发起连接事件中描述的会话的主机的 IP 地址，采用 IP 地址八位组。

响应方 IP 地址 (Responder IP Address)

uint8[16]

响应发起主机的主机的 IP 地址，采用 IP 地址八位组。

策略修订
(Policy Revision)

uint8[16]

与触发的关联事件相关的规则版本号（如适用）。

规则 ID (Rule ID)

uint32

触发事件的规则的内部标识符（如适用）。

规则操作
(Rule Action)

uint16

在用户界面中选择的针对该规则的操作（允许、阻止等）。

规则原因
(Rule Reason)

uint16

规则触发事件的原因。

发起方端口
(Initiator Port)

uint16

发起主机使用的端口。

响应方端口 (Responder Port)

uint16

响应主机使用的端口。

TCP 标志
(TCP Flags)

uint16

表示连接事件的任何 TCP 标志。

协议 (Protocol)

uint8

IANA 指定的协议号。

NetFlow 源
(NetFlow Source)

uint8[16]

导出连接数据的支持 NetFlow 的设备的 IP 地址。

实例 ID (Instance ID)

uint16

生成事件的受管设备上 Snort 实例的数字 ID。

连接计数器 (Connection Counter)

uint16

用于区别同一秒发生的连接事件的值。

第一个数据包时间戳 (First Packet Timestamp)

uint32

在会话中交换第一个数据包的日期和时间的 UNIX
时间戳。

最后一个数据包时间戳 (Last Packet Timestamp)

uint32

在会话中交换最后一个数据包的日期和时间的 UNIX
时间戳。

发起方传输的数据包数 (Initiator Transmitted Packets)

uint64

发起主机传输的数据包数。

响应方传输的数据包数 (Responder Transmitted Packets)

uint64

响应主机传输的数据包数。

发起方传输的字节数 (Initiator Transmitted Bytes)

uint64

发起主机传输的字节数。

响应方传输的字节数 (Responder Transmitted Bytes)

uint64

响应主机传输的字节数。

用户 ID (User ID)

uint32

最后登录到生成流量的主机的用户的内部标识号。

应用协议 ID (Application
Protocol ID)

uint32

应用协议的应用 ID。

URL 类别 (URL Category)

uint32

URL 类别的内部标别号。

URL 信誉 (URL Reputation)

uint32

URL 信誉的内部标识号。

客户端应用 ID (Client Application ID)

uint32

被检测客户端应用的内部标识号（如适用）。

Web 应用 ID (Web Application ID)

uint32

被检测 Web 应用的内部标识号（如适用）。

字符串块类型 (String Block Type)

uint32

启动客户端应用 URL 的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

客户端应用 URL 字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上客户端应用 URL 字符串中的字节数。

客户端应用 URL (Client Application URL)

字符串

客户端应用访问的 URL（如适用）
（例如， /files/index.html ）。

字符串块类型 (String Block Type)

uint32

启动主机 NetBIOS 名称的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

字符串数据块中的字节数，包括字符串块类型和长度字段的八个字节，加上 NetBIOS 名称字符串中的字节数。

NetBIOS 名称 (NetBIOS Name)

字符串

主机 NetBIOS 名称字符串。

字符串块类型 (String Block Type)

uint32

启动客户端应用版本的字符串数据块。值始终为 0 。

字符串块长度
(String Block Length)

uint32

用于客户端应用版本的字符串数据块中的字节数，包括字符串块类型和长度的八个字节，加上版本中的字节数。

客户端应用版本 (Client Application Version)

字符串

客户端应用版本。

监控器规则 1 (Monitor Rule 1)

uint32

与连接事件关联的第一个监控器规则的 ID。

监控器规则 2 (Monitor Rule 2)

uint32

与连接事件关联的第二个监控器规则的 ID。

监控器规则 3 (Monitor Rule 3)

uint32

与连接事件关联的第三个监控器规则的 ID。

监控器规则 4 (Monitor Rule 4)

uint32

与连接事件关联的第四个监控器规则的 ID。

监控器规则 5 (Monitor Rule 5)

uint32

与连接事件关联的第五个监控器规则的 ID。

监控器规则 6 (Monitor Rule 6)

uint32

与连接事件关联的第六个监控器规则的 ID。

监控器规则 7 (Monitor Rule 7)

uint32