Referencia del diccionario de alertas y registros de Seguridad de macOS

Documentación de Jamf Protect
Solution
Application
Content Type
Documentación técnica
Utilities & Services
ft:locale
es-ES
Nota:

El contenido de este apartado se aplica a la estrategia antigua de prevención de amenazas de Seguridad de macOS. La estrategia antigua quedará desfasada en una futura versión de Seguridad de macOS. Puede consultar información e instrucciones sobre la configuración de estrategias de prevención de amenazas en el apartado Prevención de amenazas para estrategias de macOS.

Campos de eventos generales

Cada evento consta de numerosos campos de eventos, y los nombres de campo de esta descripción son comunes a todos los tipos de evento.

#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.eventTypeDefine el tipo de eventoCadenaGPFSEvent
2input.host.ipsDirección IPCadena192.168.1.2
3input.host.serialNúmero de serieCadenaC02TL0WGGAAA
4input.host.hostnameNombre de hostCadenaJon’s MacBook Pro
5input.match{}.tags{}Etiquetas de información CadenaMITRE TTPs
6input.match{}.uuid Alerta de UUIDCadena237BF758-408B-402A-87C2-64BCCFF7D0A2
7input.match{}.event.timestamp Hora de alerta Número entero1635055240.016535
8input.match{}.facts{}.nameNombre de alerta CadenaSpearphishOfficeWritesExecutableResearch
9input.match{}.facts{}.humanDescripción de alertaCadenaCasos en los que Office crea un archivo ejecutable.
10input.match{}.actions{}.name Acciones basadas en eventos CadenaLog
11input.match{}.customIdentificador de analítica personalizadaBooleanofalse
12input.match{}.contextMetadatos adicionalesCadena
[ 
{ "name": "ItemName", "value": "jamf", "valueType": "String" }, 
{ 
"name": "Label", 
"value": "com.jamfsoftware.task.checkForTasks", 
"valueType": "String" 
}, 
{ 
"name": "Args", 
"value": "/usr/local/jamf/bin/jamf manage -rebootIfNeeded -deleteLaunchdTask", 
"valueType": "String" 
}, 
{ 
"name": "Name", 
"value": "com.jamfsoftware.task.checkForTasks.plist", 
"valueType": "String" 
}, 
{ 
"name": "ItemBinary", 
"value": "/usr/local/jamf/bin/jamf", 
"valueType": "Binary" 
} 
]
13input.match{}.severityGravedad de alertaNúmero entero
  • 0 = Informational (Informativa)
  • 1 = Baja
  • 2 = Media
  • 3 = Alta
14input.related{}.users{}Matriz de usuarios de eventoNúmero entero, cadena
"binaries": [
      {
        "gid": 0,
        "uid": 0,
        "fsid": 16777225,
        "mode": 33261,
        "path": "/Library/PrivilegedHelperTools/com.microsoft.autoupdate.helper",
        "size": 293136,
        "inode": 19220446,
        "xattrs": [],
        "changed": 1698151132,
        "created": 1698151132,
        "sha1hex": "63182f5bda15fd2e262b512bf20104497b723b77",
        "accessed": 1698917972,
        "modified": 1698151132,
        "sha256hex": "f1ff86c81b106a4dc9445f01f2e62940fcca9117437941da99b0131dd98bb9e5",
        "isDownload": false,
        "objectType": "GPSystemObject",
        "isAppBundle": false,
        "isDirectory": false,
        "signingInfo": {
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        },
        "isScreenShot": false
      }
    ]
15input.related{}.groups{}Matriz de grupos de eventosMatriz
 "groups": [
      {
        "gid": 0,
        "name": "wheel",
        "uuid": "Z2C23RW4DY0"
      },
      {
        "gid": 33,
        "name": "_appstore",
        "uuid": "Z2C23RW4DY21"
      }
    ]
16input.related{}.binaries{}Matriz de información de binario de evento1Número entero, cadena
      {
        "gid": 0,
        "uid": 0,
        "fsid": 16777230,
        "mode": 35273,
        "path": "/usr/libexec/security_authtrampoline",
        "size": 134768,
        "inode": 1152921500312504800,
        "xattrs": [],
        "changed": 1694870910,
        "created": 1694870910,
        "sha1hex": "82e899cb1c8a42b74653b05ca526d5feae92b9f6",
        "accessed": 1694870910,
        "modified": 1694870910,
        "sha256hex": "7528368ce03bd25fb22520923f366e364ea40ae90b22dac79fba90f2152c3d32",
        "isDownload": false,
        "objectType": "GPSystemObject",
        "isAppBundle": false,
        "isDirectory": false,
        "signingInfo": {
          "appid": "com.apple.security_authtrampoline",
          "cdhash": "rbIoddPMz9MoMMZl1ATihY8wlMk=",
          "status": 0,
          "teamid": "",
          "signerType": 0,
          "authorities": [
            "Software Signing",
            "Apple Code Signing Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        },
        "isScreenShot": false
      }
17input.related{}.binaries{}.uidIdentificador de usuario de propietario de archivoNúmero entero501
18input.related{}.binaries{}.gidIdentificador de grupo de propietario de archivoNúmero entero80
19input.related{}.binaries{}.pathRuta de binario1Cadena/Aplicaciones/iMyFone iBypasser.app/Contents/MacOS/iMyFone iBypasser
20input.related{}.binaries{}.sha1hex Cadena hexadecimal de archivo de hash SHA-1Cadena39655008a0a72cabf6d488cd0dcfb37e9883e0b8
21input.related{}.binaries{}.sha256hex Cadena hexadecimal de archivo de hash SHA-256Cadenad2d07ceb1e637c555786d68b65f7b8913c8d52c5e4348881632aea0fa91c1643
22input.related{}.binaries{}.xattrs{}Matriz de atributos extendidos de archivoCadena["com.dropbox.attrs", "com.jamf.protect.quarantined"]
23input.related{}.binaries{}.isDownloadValidación de archivo descargado de internetBooleanotrue
24input.related{}.binaries{}.isAppBundleValidación de archivo de directorio de paquete de app Booleanotrue
25input.related{}.binaries{}.isDirectoryValidación de archivo de directorioBooleanotrue
26input.related{}.binaries{}.isScreenShotValidación de archivo de imagen de captura de pantallaBooleanotrue
27input.related{}.binaries{}.signingInfo{} Matriz de información de firma de binario1Cadena
"signingInfo": {
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        }
28input.related{}.binaries{}.signingInfo.appidIdentificador de binario1Cadenacom.jamf.protect.security-extension
29input.related{}.binaries{}.signingInfo.cdhash Hash de directorio de código de binario1CadenaXeQsQOHD7J3vTAuYYZTMQP2mwm0=
30input.related{}.binaries{}.signingInfo.teamidIdentificador de firmante de equipo de desarrollo de binario1Cadena483DWKW443
31input.related{}.binaries{}.signingInfo.signerTypeNivel de confianza implícito de binario y tipo de firma1Número entero2
32input.related{}.binaries{}.signingInfo.authoritiesMatriz de autoridades firmantes de firmaCadena
[
            "Developer ID Application: JAMF Software (483DWKW443)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
33input.related{}.binaries{}.signingInfo.entitlementsMatriz de autorizaciones concedidas de binario1 Cadena
[
            "com.apple.private.responsibility.set-to-self",
            "com.apple.private.responsibility.set-to-other",
            "com.apple.private.security.storage.InstallerSandboxes",
            "com.apple.private.responsibility.set-hosted-properties"
          ]
34input.related{}.binaries{}.signingInfo.statusMessageCódigo de estado traducido de recuperación de información de firmaCadenaNo error.
35input.related{}.processes{}.uidIdentificador de proceso ejecutante de usuario efectivoNúmero entero501
36input.related{}.processes{}.gidIdentificador de proceso ejecutante de grupo efectivoNúmero entero20
37input.related{}.processes{}.ppidIdentificador de proceso principalNúmero entero1
38input.related{}.processes{}.pgidIdentificador de grupo de procesoNúmero entero1
39input.related{}.processes{}.ruidIdentificador de proceso ejecutante de usuario realNúmero entero501
40input.related{}.processes{}.rgidIdentificador de proceso ejecutante de grupo realNúmero entero20
41input.related{}.processes{}.pidIdentificador de proceso (proceso)Número entero772
42input.related{}.processes{}.responsiblePIDIdentificador de proceso responsableNúmero entero19678
43input.related{}.processes{}.originalParentPIDIdentificador de proceso principalNúmero entero55064
44input.related{}.processes{}.args{}Matriz de argumentos opcionales pasados a procesoCadena
[ 
"mv", 
"Slack.app", 
"/Users/ada.powers/Applications" 
]
45input.related{}.processes{}.nameNombre de procesoCadenaSnap Camera
46input.related{}.processes{}.pathProcess Path (Ruta de proceso)Cadena/Aplicaciones/Snap Camera.app/Contenido/MacOS/Snap Camera
47input.related{}.processes{}.exitCodeCódigo de salida de procesoNúmero entero0
48input.related{}.process{}.signingInfo{}Matriz de información de firma de proceso Cadena
"signingInfo": {
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        }
49input.related{}.process{}.signingInfo.appidIdentificador de paquete (proceso)CadenaMF.iMyFone iBypasser
50input.related{}.process{}.signingInfo.cdhashHash de directorio de código de procesoCadenaXeQsQOHD7J3vTAuYYZTMQP2mwm0=
51input.related{}.process{}.signingInfo.teamid Identificador de firma de equipo de desarrollo de procesoCadena483DWKW443
52input.related{}.process{}.signingInfo.signerTypeNivel de confianza implícito de binario y tipo de firma1Número entero2
53input.related{}.process{}.signingInfo.authoritiesMatriz de autoridades firmantes de firmaCadena
[
            "Developer ID Application: JAMF Software (483DWKW443)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
54input.related{}.process{}.signingInfo.entitlementsMatriz de autorizaciones concedidas de procesoCadenacom.apple.rootless.restricted-block-devices
55input.related{}.binaries{}.signingInfo.statusMessageCódigo de estado traducido de recuperación de información de firmaCadenaNo error.
56input.related{}.process{}.startTimetampSello de hora inicial de procesoNúmero entero1657114862
1Cualquier binario relacionado con un evento que no sea un binario de Jamf.

GPClickEvent

Synthetic Click Events (Eventos de clic sintético)
#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.gidIdentificador de grupo de clic sintéticoNúmero entero20
2input.match{}.event{}.pidIdentificador de proceso (PID) de clic sintéticoNúmero entero96657
3input.match{}.event{}.uidIdentificador de usuario de clic sintéticoNúmero entero501
4input.match{}.event{}.clickTypeTipo de clicNúmero entero
  • 0 = Other
  • 1 Left Down
  • 2 Left Up
  • 3 Right Down
  • 4 Right Up
5input.match{}.event{}.targetpidIdentificador de proceso de destino de clic sintético (PID)Número entero4456

GPDownloadEvent

Supervisa los archivos descargados de internet.

#Nombre del campo DescripciónTipo de datosValor de ejemplo
1input.match{}.event.pathRuta de archivo descargadoCadena/Biblioteca/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
2input.related{}.files{}.gidIdentificador de grupo de archivoNúmero entero20
3input.related{}.files{}.uidIdentificador de usuario de propietario de archivoNúmero entero501
4input.related{}.files{}.fsidIdentificador de sistema de archivos (FSID)Número entero16777234
5input.related{}.files{}.modeTipo de archivo y modoNúmero entero33188
6input.related{}.files{}.pathRuta de archivoCadena/Biblioteca/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
7input.related{}.files{}.sizeTamaño de archivoNúmero entero35249769
8input.related{}.files{}.inodeIdentificador de inodo de archivoNúmero entero7174457
9input.related{}.files{}.xattrsMatriz de atributos extendidos de archivoCadena["com.apple.macl", "com.apple.metadata:kMDItemDownloadedDate", "com.apple.metadata:kMDItemWhereFroms", "com.apple.quarantine"]
10input.related{}.files{}.changedFecha de modificación de archivoNúmero entero1632496484
11input.related{}.files{}.createdFecha de creación de archivo Número entero1632496484
12input.related{}.files{}.sha1hex Cadena hexadecimal de archivo de hash SHA-1Cadena39655008a0a72cabf6d488cd0dcfb37e9883e0b8
13input.related{}.files{}.accessedFecha de último acceso a archivoNúmero entero1632496484
14input.related{}.files{}.modifiedFecha de última modificación de archivo Número entero1632496484
15input.related{}.files{}.sha256hexCadena hexadecimal de archivo de hash SHA-256Cadenaca43054c05867b673d980bbcc97215d7ebaed5465ad1266eea4c776188bbd385
16input.related{}.files{}.isDownloadValidación de archivo descargado de internet Booleanotrue
17input.related{}.files{}.isAppBundleValidación de archivo de directorio de paquete de app Booleanotrue
18input.related{}.files{}.isDirectoryValidación de archivo de directorio Booleanotrue
19input.related{}.files{}.signingInfo{}Matriz de información de firma de archivoNúmero entero, cadena
{ 
"status": -67062, 
"authorities": [], 
"teamid": "", 
"signerType": 4, 
"statusMessage": "code object is not signed at all", 
"entitlements": [], 
"appid": "" 
},
20input.related{}.files{}.signingInfo.appidIdentificador de archivoCadenaGoogleChrome-97.0.4692.99-GGRO
21input.related{}.files{}.signingInfo.cdhashHash de directorio de código de archivoCadenaWApZMfx1x99D8eRQhUFeID4YZDY=
22input.related{}.files{}.signingInfo.teamidIdentificador de firmante de equipo de desarrolloCadenaEQHXZ8M8AV
23input.related{}.files{}.signingInfo.signerTypeNivel de confianza implícito y tipo de firma de objetoNúmero entero2
24input.related{}.files{}.signingInfo.authoritiesMatriz de autoridades firmantes de firmaCadena["Developer ID Application: Google, Inc. (EQHXZ8M8AV)", "Developer ID Certification Authority", "Apple Root CA"]
25input.related{}.files{}.signingInfo.entitlementsMatriz de autorizaciones concedidas de archivoCadenacom.apple.rootless.restricted-block-devices
26input.related{}.files{}.isScreenShotValidación de archivo de imagen de captura de pantalla Booleanotrue
27input.related{}.files{}.downloadedFromMatriz de ubicaciones de descarga de archivoCadenahttps://files.jamf.com

GPFSEvent

Eventos de sistema de archivos
#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event.devIdentificadores de dispositivos de evento de sistema de archivos Número entero16777233
2input.match{}.event.gidIdentificador de grupo de archivo Número entero0
3input.match{}.event.pidIdentificador de proceso (PID) de archivo Número entero96657
4input.match{}.event.uidIdentificador de usuario de archivo Número entero0
5input.match{}.event.pathRuta de archivo Cadena/Biblioteca/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
6input.match{}.event.typeEventos de sistema de archivosNúmero entero
  • 0 = Creado
  • 1 = Eliminado
  • 3 = Renombrado
  • 4 = Modificado
  • 7 = Directorio creado
7input.match{}.event.iNodeIdentificador de inodo de archivoNúmero entero3493490
8input.match{}.event.eventIDIdentificador de evento de sistema de archivos Número entero62816
9input.match{}.event.prevFileRuta anterior de operación de renombrar archivo Cadena/Biblioteca/LaunchDaemons/.dat.nosync7991.BW4gMk
10input.related{}.files{}.gidIdentificador de grupo de operación de sistema de archivosNúmero entero0
11input.related{}.files{}.uidIdentificador de usuario de operación de sistema de archivosNúmero entero0
12input.related{}.files{}.fsidFSID de archivoNúmero entero16777234
13input.related{}.files{}.modeTipo de archivo y modoNúmero entero33188
14input.related{}.files{}.pathRuta de archivoCadena/Biblioteca/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
15input.related{}.files{}.sizeTamaño de archivoNúmero entero0
16input.related{}.files{}.inodeIdentificador de inodo de archivoNúmero entero7174457
17input.related{}.files{}.xattrsMatriz de atributos extendidos de archivoCadena["com.apple.quarantine"]
18input.related{}.files{}.changedFecha de modificación de archivoNúmero entero1632496484
19input.related{}.files{}.createdFecha de creación de archivoNúmero entero1632496484
20input.related{}.files{}.sha1hex Cadena hexadecimal de archivo de hash SHA-1Cadena39655008a0a72cabf6d488cd0dcfb37e9883e0b8
21input.related{}.files{}.accessedFecha de acceso al archivoNúmero entero1632496484
22input.related{}.files{}.modifiedFecha de modificación de archivoNúmero entero1632496484
23input.related{}.files{}.sha256hex Cadena hexadecimal de archivo de hash SHA-256Cadenaca43054c05867b673d980bbcc97215d7ebaed5465ad1266eea4c776188bbd385"
24input.related{}.files{}.isDownloadValidación de archivo descargado de internet Booleanofalse
25input.related{}.files{}.isAppBundleValidación de archivo de directorio de paquete de appBooleanofalse
26input.related{}.files{}.isDirectoryValidación de archivo de directorio Booleanofalse
27input.related{}.files{}.signingInfo{}Matriz de información de firma de archivoMatriz
{ 
"status": -67062, 
"authorities": [], 
"teamid": "", 
"signerType": 4, 
"statusMessage": "code object is not signed at all", 
"entitlements": [], 
"appid": "" 
},
28input.related{}.files{}.signingInfo.appidIdentificador de archivoCadenacom.googlecode.iterm2
29input.related{}.files{}.signingInfo.cdhashHash de directorio de código de archivoCadenaJmJW/m4Oafwj3PRZh8QspKxDUYw=
30input.related{}.files{}.signingInfo.teamidIdentificador de firmante de equipo de desarrolloCadenaAQPZ6F3ASY
31input.related{}.files{}.signingInfo.signerTypeNivel de confianza implícito y tipo de firma de objetoNúmero entero
  • 0Apple
  • 1App Store
  • 2 = Desarrollador
  • 3 = Ad hoc
  • 4 = Sin firmar
32input.related{}.files{}.signingInfo.authoritiesMatriz de autoridades firmantes de firmaMatriz
[
            "Software Signing",
            "Apple Code Signing Certification Authority",
            "Apple Root CA"
          ]
33input.related{}.files{}.signingInfo.entitlementsMatriz de autorizaciones de archivoMatrizcom.apple.private.security.clear-library-validation
34input.related{}.files{}.isScreenShotValidación de archivo de imagen de captura de pantalla Booleanotrue
35input.related{}.files{}.downloadedFromMatriz de ubicaciones de descarga de archivo Cadena https://files.jamf.com

GPProcessEvent

Supervisa los procesos que se inician o finalizan en los ordenadores.

#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event.pidIdentificador de evento de procesoNúmero entero 96657
2input.match{},event.typeActividad de procesoNúmero entero 1
3input.match{},event.subTypeActividad de proceso detalladaNúmero entero23

GPKeylogRegisterEvent

Supervisa los nuevos registros de «eventos de pulsación» mediante el entorno Core Graphics de macOS. Determinados tipos de software de registro de pulsaciones y accesibilidad suelen usar eventos de pulsación de Core Graphic.

#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.optionsOpciones definidas cuando se registró la pulsación de tecla de registro.Cadena
  • defaultTap = Toque por omisión
  • listenOnly = Solo escuchar
2input.match{}.event{}.sourcePIDID de proceso de origen (solicitud de registro de pulsación de tecla de registro)Número entero86939
3input.match{}.event{}.destinationPIDID de proceso de destino (solicitud de registro de pulsación de tecla de registro)Número entero0

GPGatekeeperEvent

Supervisa los registros y acciones de Gatekeeper, una prestación integrada de Apple para imponer la firma de código y verificar las apps descargadas antes de abrirlas.

#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.pidID de proceso (evento de Gatekeeper) Número entero39357
2input.match{}.event{}.name Nombre de eventoCadenaCrashReporter
3input.match{}.event{}.pathRuta de proceso (evento de Gatekeeper) Cadena/Biblioteca/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
4input.match{}.event{}.senderRemitente de mensaje de registroCadenaAppleSystemPolicy
5input.match{}.event{}.processProceso de remitente de mensaje de registroCadenakernel
6input.match{}.event{}.categoryCategoría de registroCadenaXPEvent.structured
7input.match{}.event{}.subsystemSubsistema de registroCadenacom.apple.XProtectFramework.PluginAPI
8input.match{}.event{}.composedMessageMensaje de registroCadena
ASP: Security policy would not allow process: 30659, /Applications/JamfComplianceReporter.app/Contents/Helpers/JamfComplianceReporterAgent.app/Contents/MacOS/JamfComplianceReporterAgent
9input.match{}.event{}.senderImagePathRuta de imagen (remitente de mensaje de registro)Cadena/Sistema/Biblioteca/Extensions/AppleSystemPolicy.kext/Contents/MacOS/AppleSystemPolicy
10input.match{}.event{}.processImagePathRuta de proceso (remitente de mensaje de registro)Cadena/kernel
11input.match{}.event{}.processIdentifierID de proceso (remitente de mensaje de registro)Número entero0
12input.match{}.facts{}.nameNombre de alerta CadenaGatekeeperBlockedSigned

GPMRTEvent

Supervisa los registros y acciones de Malware Removal Tool (MRT), una aplicación integrada de Apple que se encarga de eliminar archivos afectados de macOS.

#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.pidID de proceso (evento de Gatekeeper)Número entero96657
2input.match{}.event{}.nameNombre de eventoCadenaJamfComplianceReporterAgent
3input.match{}.event{}.pathRuta de proceso (evento de Gatekeeper) Cadena/Biblioteca/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
4input.match{}.event{}.senderRemitente de mensaje de registroCadenaAppleSystemPolicy
5input.match{}.event{}.processProceso de remitente de mensaje de registroCadenakernel
6input.match{}.event{}.categoryCategoría de registroCadenaXPEvent.structured
7input.match{}.event{}.subsystemSubsistema de registroCadenacom.apple.XProtectFramework.PluginAPI
8input.match{}.event{}.composedMessageMensaje de registroCadena ASP: Security policy would not allow process: 30659, /Applications/JamfComplianceReporter.app/Contents/Helpers/JamfComplianceReporterAgent.app/Contents/MacOS/JamfComplianceReporterAgent"
9input.match{}.event{}.senderImagePathRuta de imagen (remitente de mensaje de registro)Cadena/Sistema/Biblioteca/Extensions/AppleSystemPolicy.kext/Contents/MacOS/AppleSystemPolicy
10input.match{}.event{}.processImagePathRuta de proceso (remitente de mensaje de registro)Cadena/kernel
11input.match{}.event{}.processIdentifierID de proceso (remitente de mensaje de registro)Número entero0
12input.match{}.facts{}.nameSpearphishOfficeWritesExecutableResearchCadenaLaunchDaemon

GPPreventedExecutionEvent

Eventos de lista de prevención personalizada
#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.blockedApp fue bloqueadaBooleanotrue
2input.match{}.event{}.matchTypeMétodo de coincidenciaCadenasigningID
3input.match{}.event{}.matchValueNombre de app impedidaCadenascriptingosx.desktoppr
4input.match{}.event{}.process{}.gidIdentificador de grupo efectivo de procesoNúmero entero20
5input.match{}.event{}.process{}.pidIdentificador de proceso (proceso)Número entero40990
6input.match{}.event{}.process{}.uidIdentificador de usuario efectivo de proceso Número entero501
7input.match{}.event{}.process{}.argsArgumentos posibles pasados por matriz de procesoCadena
[
          "/tmp/PKInstallSandbox.nVjzpr/Scripts/com.jamf.ce.Wallpaper.43ZvSw/desktoppr",
          "/Library/Desktop Pictures/wallpaper.heic"
        ]
          "/tmp/PKInstallSandbox.nVjzpr/Scripts /com.jamf.ce.Wallpaper.43ZvSw/desktoppr",
          "/Library/Desktop Pictures/wallpaper.heic"
        ]
8input.match{}.event{}.process{}.nameNombre de procesoCadenadesktoppr
9input.match{}.event{}.process{}.pathProcess Path (Ruta de proceso)Cadena/tmp/PKInstallSandbox.nVjzpr/Scripts/com.jamf.ce.Wallpaper.43ZvSw/desktoppr
10input.match{}.event{}.process{}.pgidIdentificador de grupo de procesoNúmero entero40990
11input.match{}.event{}.process{}.rgidIdentificador de grupo real de procesoNúmero entero20
12input.match{}.event{}.process{}.ruidIdentificador de usuario real de procesoNúmero entero501
13input.match{}.event{}.process{}.uuidIdentificador único de eventoCadenaade83c7a-2eaa-4bd3-b468-d1643483746f
14input.match{}.event{}.process{}.signingInfo{}Matriz de información de firma de procesoNúmero entero, cadena
[
          "appid": "com.scriptingosx.desktoppr",
          "cdhash": "oA74w5FQMn1N1G7k1Ar0lyClqu8=",
          "status": 0,
          "teamid": "JME5BW3F3R",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Jon Smith (JME5BW3F3R)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
15input.match{}.event{}.process{}.signingInfo{}.appidIdentificador (proceso)Cadenacom.scriptingosx.desktoppr
16input.match{}.event{}.process{}.signingInfo{}.cdhashHash de directorio de código de procesoCadenaoA74w5FQMn1N1G7k1Ar0lyClqu8=
17input.match{}.event{}.process{}.signingInfo{}.statusEstado de recuperación de información de firmaNúmero entero
  • 0Apple
  • 1App Store
  • 2 = Desarrollador
  • 3 = Ad hoc
  • 4 = Sin firmar
18input.match{}.event{}.process{}.signingInfo{}.teamidIdentificador de firmante de equipo de desarrollo de procesoCadenaJME5BW3F3R
19input.match{}.event{}.process{}.signingInfo{}.signerTypeNivel de confianza implícito y tipo de firmaNúmero entero
  • 0Apple
  • 1App Store
  • 2 = Desarrollador
  • 3 = Ad hoc
  • 4 = Sin firmar
20input.match{}.event{}.process{}.signingInfo{}.authoritiesMatriz de autoridades firmantes de firmaCadena
[
            "Developer ID Application: Jon Smith (JME5BW3F3R)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
21input.match{}.event{}.process{}.signingInfo{}.entitlementsMatriz de autorizaciones concedidas de procesoCadenacom.apple.private.security.clear-library-validation
22input.match{}.event{}.process{}.signingInfo{}.statusMessageCódigo de estado de recuperación de información de firmaCadenaNo error.
23input.match{}.event{}.process{}.startTimestampSello de hora inicial de procesoNúmero entero1668431165
24input.match{}.event{}.process{}.orginalParentPIDIdentificador de proceso principalNúmero entero1

GPThreatMatchExecEvent

Eventos de Prevención de Amenazas
#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.blockedAmenaza fue bloqueadaBooleanotrue
2input.match{}.event{}.matchTypeCoincidencia de base de datosCadenaThreat Signature
3input.match{}.event{}.matchValueNombre de la amenazaCadenaapplejeus_jmt_a
4input.match{}.event{}.scriptPathRuta de scriptCadena/tmp/CrashReporter.sh
5input.match{}.event{}.process{}.gidIdentificador de proceso ejecutante de grupo efectivoNúmero entero0
6input.match{}.event{}.process{}.pidIdentificador de proceso (proceso)Número entero39356
7input.match{}.event{}.process{}.uidIdentificador de proceso ejecutante de usuario efectivoNúmero entero0
8input.match{}.event{}.process{}.argsMatriz de argumentos opcionales pasados a procesoCadena
[
          "/Library/JMTTrader/CrashReporter",
          "Maintain"
        ]
9input.match{}.event{}.process{}.nameNombre de procesoCadenaCrashReporter
10input.match{}.event{}.process{}.pathProcess Path (Ruta de proceso)Cadena/Biblioteca/radar/CrashReporter
11input.match{}.event{}.process{}.pgidIdentificador de grupo de procesoNúmero entero39356
12input.match{}.event{}.process{}.rgidIdentificador de proceso ejecutante de grupo realNúmero entero0
13input.match{}.event{}.process{}.ruidIdentificador de proceso ejecutante de usuario realNúmero entero0
14input.match{}.event{}.process{}.uuidIdentificador único de eventoCadena3a842375-29f4-4516-8c8e-aca148c3ab32
15input.match{}.event{}.process{}.signingInfo{}Matriz de información de firma de procesoNúmero entero, cadena
{
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        }
16input.match{}.event{}.process{}.signingInfo{}.appidIdentificador (proceso)Cadenacom.scriptingosx.desktoppr
17input.match{}.event{}.process{}.signingInfo{}.cdhashHash de directorio de código de procesoCadenaoA74w5FQMn1N1G7k1Ar0lyClqu8=
18input.match{}.event{}.process{}.signingInfo{}.statusEstado de recuperación de información de firmaNúmero entero-67068
19input.match{}.event{}.process{}.signingInfo{}.teamid Identificador de firma de equipo de desarrollo de procesoCadenaJME5BW3F3R
20input.match{}.event{}.process{}.signingInfo{}.signerTypeNivel de confianza implícito y tipo de firma de objetoNúmero entero
  • 0Apple
  • 1App Store
  • 2 = Desarrollador
  • 3 = Ad hoc
  • 4 = Sin firmar
21input.match{}.event{}.process{}.signingInfo{}.authoritiesMatriz de autoridades firmantes de firmaCadena
[
            "Developer ID Application: Jon Smith (JME5BW3F3R)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
22input.match{}.event{}.process{}.signingInfo{}.entitlementsMatriz de autorizaciones concedidas de procesoCadenacom.apple.private.security.clear-library-validation
23input.match{}.event{}.process{}.signingInfo{}.statusMessageCódigo de estado traducido de recuperación de información de firmaCadenacannot find code object on disk
24input.match{}.event{}.process{}.startTimestampSello de hora inicial de procesoNúmero entero1668430737
25input.match{}.event{}.process{}.orginalParentPIDIdentificador de proceso principalNúmero entero1
26input.match.facts{}.versionVersión de prevención de amenazas de terminalNúmero entero11568

GPUnifiedLogEvent

Eventos de registro unificado
#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match{}.event{}.senderRemitente de mensaje de registroCadenaXProtectRadarSecurity
2input.match{}.event{}.processProceso de remitente de mensaje de registroCadenaXProtectRadarSecurity
3input.match{}.event{}.categoryCategoría de registroCadenaXPEvent.structured
4input.match{}.event{}.subsystemSubsistema de registroCadenacom.apple.XProtectFramework.PluginAPI
5input.match{}.event{}.composedMessageMensaje de registroCadena{\"caused_by\":[],\"status_message\":\"NoThreatDetected\",\"status_code\":20,\"execution_duration\":0.7135159969329834}
6input.match{}.event{}.senderImagePath Ruta de imagen de remitente de mensaje de registroCadena/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRadarSecurity
7input.match{}.event{}.processImagePath Ruta de proceso de remitente de mensaje de registroCadena/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRLibrary/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRadarSecurity
8input.match{}.event{}.processIdentifierID de proceso de remitente de mensaje de registroNúmero entero6925

GPUSBEvent

Supervisa los dispositivos USB conectados a ordenadores.

#Nombre del campoDescripciónTipo de datosValor de ejemplo
1input.match.typeTipo de evento USBNúmero entero
  • 0 = Dispositivo insertado
  • 1 = Dispositivo eliminado
2input.match.usbAddressDirección USBNúmero entero6
3input.match{}.device{}.mediaPathRuta de mediosCadenaIODeviceTree:/PCI0@0/RP05@1C,4/UPSB@0/DSB2@2/XHC2@0/@1:0
4input.match{}.device{}.protocolProtocoloCadenaUSB
5input.match{}.device{}.deviceModelModeloCadenaUltra USB 3.0
6input.match{}.device{}.isRemovableExtraíbleBooleanotrue
7input.match{}.device{}.mediaNameNombre de mediosCadenaSanDisk Ultra USB 3.0 Media
8input.match{}.device{}.bsdMinorNúmero secundario BSDNúmero entero11
9input.match{}.device{}.vendorNameProveedor de dispositivo USBCadenaApple Inc.
10input.match{}.device{}.isWholeEnteroBooleanofalse
11input.match{}.device{}.unitUnidadNúmero entero1
12input.match{}.device{}.deviceSubclassSubclase de dispositivo USBNúmero entero0
13input.match{}.device{}.serialNumberNúmero de serie de dispositivo USBCadenaFM79997PJ3VYB7+SET
14input.match{}.device{}.bsdUnitUnidad BSDNúmero entero2
15input.match{}.device{},busPathRuta de busCadenaIODeviceTree:/PCI0@0/RP05@1C,4/UPSB@0/DSB2@2/XHC2@0
16input.match{}.device{}.isLeafHojaBooleanotrue
17input.match{}.device{}.isInternalInternaBooleanotrue
18input.match{}.device{}.busNameNombre de busCadenaXHC2
19input.match{}.device{}.bsdMajorNúmero principal BSDNúmero entero1
20input.match{}.device{}.isEjectableExtraíbleBooleanotrue
21input.match{}.device{}.isEncryptedCifradoBooleanotrue
22input.match{}.device{}.devicePathRuta de dispositivoCadenaIOService:/AppleACPIPlatformExpert/PCI0@0/AppleACPIPCI/RP05@1C,4/IOPP/UPSB@0/IOPP/DSB2@2/IOPP/XHC2@0/XHC2@00000000/SSP1@00100000/Ultra USB 3.0@00100000/IOUSBHostInterface@0/IOUSBMassStorageInterfaceNub/IOUSBMassStorageDriverNub/IOUSBMassStorageDriver/IOSCSILogicalUnitNub@0/IOSCSIPeripheralDeviceType00/IOBlockStorageServices
23input.match{}.device{}.bsdNameNombre de BSDCadenadisk2
24input.match{}.device{}.vendorIdIdentificador de proveedor de dispositivo USBCadena0x05ac
25input.match{}.device{}.contentContenido de dispositivoCadenaGUID_partition_scheme
26input.match{}.device{}.revisionRevisión de dispositivoCadena1.00
27input.match{}.device{}.sizeTamaño de dispositivoNúmero entero15376000000
28input.match{}.device{}.isNetworkVolumeVolumen de redBooleanotrue
29input.match{}.device{}.blocksizeTamaño de bloqueNúmero entero512
30input.match{}.device{}.productNameNombre de producto USBCadenaApple Internal Keyboard / Trackpad
31input.match{}.device{}.mediaKindTipo de mediosCadenaIOMedia
32input.match{}.device{}.isWritableDispositivo editableBooleanotrue
33input.match{}.device{}.productIdIdentificador de producto de dispositivo USBCadena0x027b
34input.match{}.device{}.deviceClassClase de dispositivo USBNúmero entero0
35input.match{}.device{}.encryptionDetailDetalle de cifradoNúmero entero0