Dictionnaire des alertes et journaux de sécurité de macOS – Référence

Documentation Jamf Protect
Solution
Application
Content Type
Documentation technique
Utilities & Services
ft:locale
fr-FR
Remarque :

Le contenu de cette section concerne l’ancienne stratégie de prévention des menaces de la sécurité macOS. Cette ancienne stratégie deviendra obsolète dans une prochaine version de la sécurité macOS. Pour obtenir des informations et des instructions sur la configuration des stratégies de prévention des menaces, consultez la section Stratégies de prévention des menaces pour macOS.

Champs généraux de l’évènement

Chaque évènement comprend de nombreux champs, et les noms des champs présentés dans cette vue d’ensemble sont communs à tous les types d’évènements.

#Nom du champDescriptionType de donnéesExemple de valeur
1input.eventTypeDéfinit le type d’évènementChaîneGPFSEvent
2input.host.ipsAdresse IPChaîne192.168.1.2
3input.host.serialNuméro de sérieChaîneC02TL0WGGAAA
4input.host.hostnameNom d’hôteChaîneJon’s MacBook Pro
5input.match{}.tags{}Balises informatives ChaîneMITRE TTPs
6input.match{}.uuid Alerte UUIDChaîne237BF758-408B-402A-87C2-64BCCFF7D0A2
7input.match{}.event.timestamp Heure de l’alerte Entier1635055240.016535
8input.match{}.facts{}.nameNom de l’alerte ChaîneSpearphishOfficeWritesExecutableResearch
9input.match{}.facts{}.humanDescription de l’alerteChaîneOccurrences lorsqu’Office crée un fichier exécutable.
10input.match{}.actions{}.name Actions basées sur des évènements ChaîneLog
11input.match{}.customIdentifiant d’analyse personnaliséeBooléenfalse
12input.match{}.contextMétadonnées supplémentairesChaîne
[ 
{ "name": "ItemName", "value": "jamf", "valueType": "String" }, 
{ 
"name": "Label", 
"value": "com.jamfsoftware.task.checkForTasks", 
"valueType": "String" 
}, 
{ 
"name": "Args", 
"value": "/usr/local/jamf/bin/jamf manage -rebootIfNeeded -deleteLaunchdTask", 
"valueType": "String" 
}, 
{ 
"name": "Name", 
"value": "com.jamfsoftware.task.checkForTasks.plist", 
"valueType": "String" 
}, 
{ 
"name": "ItemBinary", 
"value": "/usr/local/jamf/bin/jamf", 
"valueType": "Binary" 
} 
]
13input.match{}.severityGravité des alertesEntier
  • 0 = Informatif
  • 1 = Faible
  • 2 = Moyen
  • 3 = Élevé
14input.related{}.users{}Tableau des utilisateurs de l’évènementEntier, chaîne
"binaries": [
      {
        "gid": 0,
        "uid": 0,
        "fsid": 16777225,
        "mode": 33261,
        "path": "/Library/PrivilegedHelperTools/com.microsoft.autoupdate.helper",
        "size": 293136,
        "inode": 19220446,
        "xattrs": [],
        "changed": 1698151132,
        "created": 1698151132,
        "sha1hex": "63182f5bda15fd2e262b512bf20104497b723b77",
        "accessed": 1698917972,
        "modified": 1698151132,
        "sha256hex": "f1ff86c81b106a4dc9445f01f2e62940fcca9117437941da99b0131dd98bb9e5",
        "isDownload": false,
        "objectType": "GPSystemObject",
        "isAppBundle": false,
        "isDirectory": false,
        "signingInfo": {
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        },
        "isScreenShot": false
      }
    ]
15input.related{}.groups{}Tableau des groupes de l’évènementTableau
 "groups": [
      {
        "gid": 0,
        "name": "wheel",
        "uuid": "Z2C23RW4DY0"
      },
      {
        "gid": 33,
        "name": "_appstore",
        "uuid": "Z2C23RW4DY21"
      }
    ]
16input.related{}.binaries{}Tableau d’informations binaires sur les évènements1Entier, chaîne
      {
        "gid": 0,
        "uid": 0,
        "fsid": 16777230,
        "mode": 35273,
        "path": "/usr/libexec/security_authtrampoline",
        "size": 134768,
        "inode": 1152921500312504800,
        "xattrs": [],
        "changed": 1694870910,
        "created": 1694870910,
        "sha1hex": "82e899cb1c8a42b74653b05ca526d5feae92b9f6",
        "accessed": 1694870910,
        "modified": 1694870910,
        "sha256hex": "7528368ce03bd25fb22520923f366e364ea40ae90b22dac79fba90f2152c3d32",
        "isDownload": false,
        "objectType": "GPSystemObject",
        "isAppBundle": false,
        "isDirectory": false,
        "signingInfo": {
          "appid": "com.apple.security_authtrampoline",
          "cdhash": "rbIoddPMz9MoMMZl1ATihY8wlMk=",
          "status": 0,
          "teamid": "",
          "signerType": 0,
          "authorities": [
            "Software Signing",
            "Apple Code Signing Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        },
        "isScreenShot": false
      }
17input.related{}.binaries{}.uidIdentifiant de l’utilisateur propriétaire du fichierEntier501
18input.related{}.binaries{}.gidIdentifiant du groupe propriétaire du fichierEntier80
19input.related{}.binaries{}.pathChemin d’accès au binaire1Chaîne/Applications/iMyFone iBypasser.app/Contents/MacOS/iMyFone iBypasser
20input.related{}.binaries{}.sha1hex SHA-1 fichier de hachage chaîne hexadécimaleChaîne39655008a0a72cabf6d488cd0dcfb37e9883e0b8
21input.related{}.binaries{}.sha256hex SHA-256 fichier de hachage chaîne hexadécimaleChaîned2d07ceb1e637c555786d68b65f7b8913c8d52c5e4348881632aea0fa91c1643
22input.related{}.binaries{}.xattrs{}Tableau des attributs étendus du fichierChaîne["com.dropbox.attrs", "com.jamf.protect.quarantined"]
23input.related{}.binaries{}.isDownloadValidation des fichiers téléchargés sur InternetBooléentrue
24input.related{}.binaries{}.isAppBundleValidation des fichiers du répertoire du bundle d’apps Booléentrue
25input.related{}.binaries{}.isDirectoryValidation des fichiers du répertoireBooléentrue
26input.related{}.binaries{}.isScreenShotValidation des fichiers des captures d’écranBooléentrue
27input.related{}.binaries{}.signingInfo{} Tableau d’informations sur la signature binaire1Chaîne
"signingInfo": {
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        }
28input.related{}.binaries{}.signingInfo.appidIdentifiant binaire1Chaînecom.jamf.protect.security-extension
29input.related{}.binaries{}.signingInfo.cdhash Hachage du répertoire de code binaire1ChaîneXeQsQOHD7J3vTAuYYZTMQP2mwm0=
30input.related{}.binaries{}.signingInfo.teamidIdentifiant binaire de l’équipe de développement1Chaîne483DWKW443
31input.related{}.binaries{}.signingInfo.signerTypeType de signature et niveau de confiance binaire implicite1Entier2
32input.related{}.binaries{}.signingInfo.authoritiesTableau des autorités de signatureChaîne
[
            "Developer ID Application: JAMF Software (483DWKW443)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
33input.related{}.binaries{}.signingInfo.entitlementsTableau des droits binaires accordés1 Chaîne
[
            "com.apple.private.responsibility.set-to-self",
            "com.apple.private.responsibility.set-to-other",
            "com.apple.private.security.storage.InstallerSandboxes",
            "com.apple.private.responsibility.set-hosted-properties"
          ]
34input.related{}.binaries{}.signingInfo.statusMessageCode traduit du statut de la récupération des informations de signatureChaîneNo error.
35input.related{}.processes{}.uidIdentifiant du processus d’exécution de l’utilisateur effectifEntier501
36input.related{}.processes{}.gidIdentifiant du processus d’exécution du groupe effectifEntier20
37input.related{}.processes{}.ppidIdentifiant du processus parentEntier1
38input.related{}.processes{}.pgidIdentifiant du groupe de processusEntier1
39input.related{}.processes{}.ruidIdentifiant du processus d’exécution de l’utilisateur réelEntier501
40input.related{}.processes{}.rgidIdentifiant du processus d’exécution du groupe réelEntier20
41input.related{}.processes{}.pidIdentifiant du processus (processus)Entier772
42input.related{}.processes{}.responsiblePIDIdentifiant du processus responsableEntier19678
43input.related{}.processes{}.originalParentPIDIdentifiant du processus parentEntier55064
44input.related{}.processes{}.args{}Tableau des arguments facultatifs transmis au processusChaîne
[ 
"mv", 
"Slack.app", 
"/Users/ada.powers/Applications" 
]
45input.related{}.processes{}.nameNom du processusChaîneSnap Camera
46input.related{}.processes{}.pathChemin d’accès au processusChaîne/Applications/Snap Camera.app/Contents/MacOS/Snap Camera
47input.related{}.processes{}.exitCodeCode de sortie du processusEntier0
48input.related{}.process{}.signingInfo{}Tableau d’informations relatives à la signature du processus Chaîne
"signingInfo": {
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        }
49input.related{}.process{}.signingInfo.appidIdentifiant de bundle (processus)ChaîneMF.iMyFone iBypasser
50input.related{}.process{}.signingInfo.cdhashHachage du répertoire de code du processusChaîneXeQsQOHD7J3vTAuYYZTMQP2mwm0=
51input.related{}.process{}.signingInfo.teamid Identifiant de signature de l’équipe de développement du processusChaîne483DWKW443
52input.related{}.process{}.signingInfo.signerTypeType de signature et niveau de confiance binaire implicite1Entier2
53input.related{}.process{}.signingInfo.authoritiesTableau des autorités de signatureChaîne
[
            "Developer ID Application: JAMF Software (483DWKW443)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
54input.related{}.process{}.signingInfo.entitlementsTableau des droits accordés au processusChaînecom.apple.rootless.restricted-block-devices
55input.related{}.binaries{}.signingInfo.statusMessageCode traduit du statut de la récupération des informations de signatureChaîneNo error.
56input.related{}.process{}.startTimetampHorodatage du démarrage du processusEntier1657114862
1Tout binaire lié à un évènement qui n’est pas un binaire Jamf.

GPClickEvent

Évènements de clics synthétiques
#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.gidIdentifiant de groupe des clics synthétiquesEntier20
2input.match{}.event{}.pidIdentifiant de processus des clics synthétiques (PID)Entier96657
3input.match{}.event{}.uidIdentifiant d’utilisateur des clics synthétiquesEntier501
4input.match{}.event{}.clickTypeType de clicsEntier
  • 0 = Other
  • 1 = Left Down
  • 2 = Left Up
  • 3 = Right Down
  • 4 = Right Up
5input.match{}.event{}.targetpidIdentifiant du processus cible des clics synthétiques (PID)Entier4456

GPDownloadEvent

Surveille les fichiers téléchargés depuis Internet.

#Nom du champ DescriptionType de donnéesExemple de valeur
1input.match{}.event.pathChemin d’accès au fichier téléchargéChaîne/Library/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
2input.related{}.files{}.gidIdentifiant du groupe de fichiersEntier20
3input.related{}.files{}.uidIdentifiant de l’utilisateur propriétaire du fichierEntier501
4input.related{}.files{}.fsidID du système de fichiers (FSID)Entier16777234
5input.related{}.files{}.modeType de fichier et modeEntier33188
6input.related{}.files{}.pathChemin d’accès au fichierChaîne/Library/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
7input.related{}.files{}.sizeTaille du fichierEntier35249769
8input.related{}.files{}.inodeIdentifiant du nœud d’index du fichierEntier7174457
9input.related{}.files{}.xattrsTableau des attributs étendus du fichierChaîne["com.apple.macl", "com.apple.metadata:kMDItemDownloadedDate", "com.apple.metadata:kMDItemWhereFroms", "com.apple.quarantine"]
10input.related{}.files{}.changedDate de modification du fichierEntier1632496484
11input.related{}.files{}.createdDate de création du fichier Entier1632496484
12input.related{}.files{}.sha1hex SHA-1 fichier de hachage chaîne hexadécimaleChaîne39655008a0a72cabf6d488cd0dcfb37e9883e0b8
13input.related{}.files{}.accessedDate du dernier accès au fichierEntier1632496484
14input.related{}.files{}.modifiedDate de la dernière modification du fichier Entier1632496484
15input.related{}.files{}.sha256hexSHA-256 fichier de hachage chaîne hexadécimaleChaîneca43054c05867b673d980bbcc97215d7ebaed5465ad1266eea4c776188bbd385
16input.related{}.files{}.isDownloadValidation des fichiers téléchargés sur Internet Booléentrue
17input.related{}.files{}.isAppBundleValidation des fichiers du répertoire du bundle d’apps Booléentrue
18input.related{}.files{}.isDirectoryValidation des fichiers du répertoire Booléentrue
19input.related{}.files{}.signingInfo{}Tableau d’informations relatives à la signature des fichiersEntier, chaîne
{ 
"status": -67062, 
"authorities": [], 
"teamid": "", 
"signerType": 4, 
"statusMessage": "code object is not signed at all", 
"entitlements": [], 
"appid": "" 
},
20input.related{}.files{}.signingInfo.appidIdentifiant du fichierChaîneGoogleChrome-97.0.4692.99-GGRO
21input.related{}.files{}.signingInfo.cdhashHachage du répertoire de code du fichierChaîneWApZMfx1x99D8eRQhUFeID4YZDY=
22input.related{}.files{}.signingInfo.teamidIdentifiant du signataire de l’équipe de développementChaîneEQHXZ8M8AV
23input.related{}.files{}.signingInfo.signerTypeType de signature d’objet et niveau de confiance impliciteEntier2
24input.related{}.files{}.signingInfo.authoritiesTableau des autorités de signatureChaîne["Developer ID Application: Google, Inc. (EQHXZ8M8AV)", "Developer ID Certification Authority", "Apple Root CA"]
25input.related{}.files{}.signingInfo.entitlementsTableau des droits accordés sur le fichierChaînecom.apple.rootless.restricted-block-devices
26input.related{}.files{}.isScreenShotValidation des fichiers des captures d’écran Booléentrue
27input.related{}.files{}.downloadedFromTableau des emplacements des fichiers téléchargésChaînehttps://files.jamf.com

GPFSEvent

Évènements système du fichier
#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event.devIdentifiants des appareils liés à des évènements du système de fichiers Entier16777233
2input.match{}.event.gidIdentifiant du groupe de fichiers Entier0
3input.match{}.event.pidIdentifiant de processus des fichiers (PID) Entier96657
4input.match{}.event.uidIdentifiant de l’utilisateur du fichier Entier0
5input.match{}.event.pathChemin d’accès au fichier Chaîne/Library/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
6input.match{}.event.typeÉvènements du système de fichiersEntier
  • 0 = Créé
  • 1 = Supprimé
  • 3 = Renommé
  • 4 = Modifié
  • 7 = Répertoire créé
7input.match{}.event.iNodeIdentifiant du nœud d’index du fichierEntier3493490
8input.match{}.event.eventIDIdentifiant de l’évènement du système de fichiers Entier62816
9input.match{}.event.prevFileChemin précédant l’opération de renommage du fichier Chaîne/Library/LaunchDaemons/.dat.nosync7991.BW4gMk
10input.related{}.files{}.gidIdentifiant du groupe d’opérations du système de fichiersEntier0
11input.related{}.files{}.uidIdentifiant de l’utilisateur des opérations du système de fichiersEntier0
12input.related{}.files{}.fsidFSID du fichierEntier16777234
13input.related{}.files{}.modeType de fichier et modeEntier33188
14input.related{}.files{}.pathChemin d’accès au fichierChaîne/Library/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
15input.related{}.files{}.sizeTaille du fichierEntier0
16input.related{}.files{}.inodeIdentifiant du nœud d’index du fichierEntier7174457
17input.related{}.files{}.xattrsTableau des attributs étendus du fichierChaîne["com.apple.quarantine"]
18input.related{}.files{}.changedDate de modification du fichierEntier1632496484
19input.related{}.files{}.createdDate de création du fichierEntier1632496484
20input.related{}.files{}.sha1hex SHA-1 fichier de hachage chaîne hexadécimaleChaîne39655008a0a72cabf6d488cd0dcfb37e9883e0b8
21input.related{}.files{}.accessedDate d’accès au fichierEntier1632496484
22input.related{}.files{}.modifiedDate de modification du fichierEntier1632496484
23input.related{}.files{}.sha256hex SHA-256 fichier de hachage chaîne hexadécimaleChaîneca43054c05867b673d980bbcc97215d7ebaed5465ad1266eea4c776188bbd385"
24input.related{}.files{}.isDownloadValidation des fichiers téléchargés sur Internet Booléenfalse
25input.related{}.files{}.isAppBundleValidation des fichiers du répertoire du bundle d’appsBooléenfalse
26input.related{}.files{}.isDirectoryValidation des fichiers du répertoire Booléenfalse
27input.related{}.files{}.signingInfo{}Tableau d’informations relatives à la signature des fichiersTableau
{ 
"status": -67062, 
"authorities": [], 
"teamid": "", 
"signerType": 4, 
"statusMessage": "code object is not signed at all", 
"entitlements": [], 
"appid": "" 
},
28input.related{}.files{}.signingInfo.appidIdentifiant du fichierChaînecom.googlecode.iterm2
29input.related{}.files{}.signingInfo.cdhashHachage du répertoire de code du fichierChaîneJmJW/m4Oafwj3PRZh8QspKxDUYw=
30input.related{}.files{}.signingInfo.teamidIdentifiant du signataire de l’équipe de développementChaîneAQPZ6F3ASY
31input.related{}.files{}.signingInfo.signerTypeType de signature d’objet et niveau de confiance impliciteEntier
  • 0 = Apple
  • 1 = App Store
  • 2 = Développeur
  • 3 = Ad hoc
  • 4 = Non signé
32input.related{}.files{}.signingInfo.authoritiesTableau des autorités de signatureTableau
[
            "Software Signing",
            "Apple Code Signing Certification Authority",
            "Apple Root CA"
          ]
33input.related{}.files{}.signingInfo.entitlementsTableau des droits liés au fichierTableaucom.apple.private.security.clear-library-validation
34input.related{}.files{}.isScreenShotValidation des fichiers des captures d’écran Booléentrue
35input.related{}.files{}.downloadedFromTableau des emplacements des fichiers téléchargés Chaîne https://files.jamf.com

GPProcessEvent

Surveille les processus qui sont lancés ou terminés sur les ordinateurs.

#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event.pidIdentifiant de l’évènement de processusEntier 96657
2input.match{},event.typeActivité du processusEntier 1
3input.match{},event.subTypeActivité détaillée du processusEntier23

GPKeylogRegisterEvent

Surveille les nouveaux enregistrements d’évènements « event tap » via l’infrastructure Core Graphics de macOS. Les évènements « event tap » de Core Graphics sont souvent utilisés par certains types d’enregistreurs de frappe et de logiciels d’accessibilité.

#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.optionsOptions définies lors de l’enregistrement du key tap du journal.Chaîne
  • defaultTap = Action par défaut
  • listenOnly = Écoute uniquement
2input.match{}.event{}.sourcePIDIdentifiant du processus source (demande d’enregistrement d’un key tap du journal)Entier86939
3input.match{}.event{}.destinationPIDIdentifiant du processus de destination (demande d’enregistrement d’un key tap du journal)Entier0

GPGatekeeperEvent

Surveille les actions et les journaux de Gatekeeper, la fonctionnalité intégrée d’Apple qui permet d’appliquer la signature de code et de vérifier les apps téléchargées avant de les ouvrir.

#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.pidIdentifiant du processus (évènement Gatekeeper) Entier39357
2input.match{}.event{}.name Nom de l’évènementChaîneCrashReporter
3input.match{}.event{}.pathChemin d’accès au processus (évènement Gatekeeper) Chaîne/Library/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
4input.match{}.event{}.senderExpéditeur du message du journalChaîneAppleSystemPolicy
5input.match{}.event{}.processProcessus de l’expéditeur du message du journalChaînekernel
6input.match{}.event{}.categoryCatégories de journauxChaîneXPEvent.structured
7input.match{}.event{}.subsystemSous-systèmes de journauxChaînecom.apple.XProtectFramework.PluginAPI
8input.match{}.event{}.composedMessageMessage du journalChaîne
ASP: Security policy would not allow process: 30659, /Applications/JamfComplianceReporter.app/Contents/Helpers/JamfComplianceReporterAgent.app/Contents/MacOS/JamfComplianceReporterAgent
9input.match{}.event{}.senderImagePathChemin de l’image (expéditeur du message du journal)Chaîne/System/Library/Extensions/AppleSystemPolicy.kext/Contents/MacOS/AppleSystemPolicy
10input.match{}.event{}.processImagePathChemin du processus (expéditeur du message du journal)Chaîne/kernel
11input.match{}.event{}.processIdentifierIdentifiant du processus (expéditeur du message du journal)Entier0
12input.match{}.facts{}.nameNom de l’alerte ChaîneGatekeeperBlockedSigned

GPMRTEvent

Surveille les actions et les journaux de Malware Removal Tool (MRT), l’application intégrée d’Apple chargée de supprimer les fichiers ciblés de macOS.

#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.pidIdentifiant du processus (évènement Gatekeeper)Entier96657
2input.match{}.event{}.nameNom de l’évènementChaîneJamfComplianceReporterAgent
3input.match{}.event{}.pathChemin d’accès au processus (évènement Gatekeeper) Chaîne/Library/LaunchDaemons/com.jamfsoftware.task.checkForTasks.plist
4input.match{}.event{}.senderExpéditeur du message du journalChaîneAppleSystemPolicy
5input.match{}.event{}.processProcessus de l’expéditeur du message du journalChaînekernel
6input.match{}.event{}.categoryCatégories de journauxChaîneXPEvent.structured
7input.match{}.event{}.subsystemSous-systèmes de journauxChaînecom.apple.XProtectFramework.PluginAPI
8input.match{}.event{}.composedMessageMessage du journalChaîne ASP: Security policy would not allow process: 30659, /Applications/JamfComplianceReporter.app/Contents/Helpers/JamfComplianceReporterAgent.app/Contents/MacOS/JamfComplianceReporterAgent"
9input.match{}.event{}.senderImagePathChemin de l’image (expéditeur du message du journal)Chaîne/System/Library/Extensions/AppleSystemPolicy.kext/Contents/MacOS/AppleSystemPolicy
10input.match{}.event{}.processImagePathChemin du processus (expéditeur du message du journal)Chaîne/kernel
11input.match{}.event{}.processIdentifierIdentifiant du processus (expéditeur du message du journal)Entier0
12input.match{}.facts{}.nameSpearphishOfficeWritesExecutableResearchChaîneLaunchDaemon

GPPreventedExecutionEvent

Évènements liés à une liste de blocage personnalisée
#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.blockedL’app a été bloquéeBooléentrue
2input.match{}.event{}.matchTypeMéthode d’associationChaînesigningID
3input.match{}.event{}.matchValueNom de l’app bloquéeChaînescriptingosx.desktoppr
4input.match{}.event{}.process{}.gidIdentifiant du groupe effectif de processusEntier20
5input.match{}.event{}.process{}.pidIdentifiant du processus (processus)Entier40990
6input.match{}.event{}.process{}.uidIdentifiant de l’utilisateur effectif du processus Entier501
7input.match{}.event{}.process{}.argsArguments possiblement transmis par le tableau de processusChaîne
[
          "/tmp/PKInstallSandbox.nVjzpr/Scripts/com.jamf.ce.Wallpaper.43ZvSw/desktoppr",
          "/Library/Desktop Pictures/wallpaper.heic"
        ]
          "/tmp/PKInstallSandbox.nVjzpr/Scripts /com.jamf.ce.Wallpaper.43ZvSw/desktoppr",
          "/Library/Desktop Pictures/wallpaper.heic"
        ]
8input.match{}.event{}.process{}.nameNom du processusChaînedesktoppr
9input.match{}.event{}.process{}.pathChemin d’accès au processusChaîne/tmp/PKInstallSandbox.nVjzpr/Scripts/com.jamf.ce.Wallpaper.43ZvSw/desktoppr
10input.match{}.event{}.process{}.pgidIdentifiant du groupe de processusEntier40990
11input.match{}.event{}.process{}.rgidIdentifiant du groupe réel associé au processusEntier20
12input.match{}.event{}.process{}.ruidIdentifiant de l’utilisateur réel du processusEntier501
13input.match{}.event{}.process{}.uuidIdentifiant d’évènement uniqueChaîneade83c7a-2eaa-4bd3-b468-d1643483746f
14input.match{}.event{}.process{}.signingInfo{}Tableau d’informations relatives à la signature du processusEntier, chaîne
[
          "appid": "com.scriptingosx.desktoppr",
          "cdhash": "oA74w5FQMn1N1G7k1Ar0lyClqu8=",
          "status": 0,
          "teamid": "JME5BW3F3R",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Jon Smith (JME5BW3F3R)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
15input.match{}.event{}.process{}.signingInfo{}.appidIdentifiant (processus)Chaînecom.scriptingosx.desktoppr
16input.match{}.event{}.process{}.signingInfo{}.cdhashHachage du répertoire de code du processusChaîneoA74w5FQMn1N1G7k1Ar0lyClqu8=
17input.match{}.event{}.process{}.signingInfo{}.statusStatut de la récupération des informations de signatureEntier
  • 0 = Apple
  • 1 = App Store
  • 2 = Développeur
  • 3 = Ad hoc
  • 4 = Non signé
18input.match{}.event{}.process{}.signingInfo{}.teamidIdentifiant du signataire de l’équipe de développement du processusChaîneJME5BW3F3R
19input.match{}.event{}.process{}.signingInfo{}.signerTypeType de signature et niveau de confiance impliciteEntier
  • 0 = Apple
  • 1 = App Store
  • 2 = Développeur
  • 3 = Ad hoc
  • 4 = Non signé
20input.match{}.event{}.process{}.signingInfo{}.authoritiesTableau des autorités de signatureChaîne
[
            "Developer ID Application: Jon Smith (JME5BW3F3R)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
21input.match{}.event{}.process{}.signingInfo{}.entitlementsTableau des droits accordés au processusChaînecom.apple.private.security.clear-library-validation
22input.match{}.event{}.process{}.signingInfo{}.statusMessageCode du statut de la récupération des informations de signatureChaîneNo error.
23input.match{}.event{}.process{}.startTimestampHorodatage du démarrage du processusEntier1668431165
24input.match{}.event{}.process{}.orginalParentPIDIdentifiant du processus parentEntier1

GPThreatMatchExecEvent

Évènements de prévention des menaces
#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.blockedLa menace a-t-elle été bloquée ?Booléentrue
2input.match{}.event{}.matchTypeCorrespondance avec la base de donnéesChaîneThreat Signature
3input.match{}.event{}.matchValueNom de la menaceChaîneapplejeus_jmt_a
4input.match{}.event{}.scriptPathChemin d’accès au scriptChaîne/tmp/CrashReporter.sh
5input.match{}.event{}.process{}.gidIdentifiant du processus d’exécution du groupe effectifEntier0
6input.match{}.event{}.process{}.pidIdentifiant du processus (processus)Entier39356
7input.match{}.event{}.process{}.uidIdentifiant du processus d’exécution de l’utilisateur effectifEntier0
8input.match{}.event{}.process{}.argsTableau des arguments facultatifs transmis au processusChaîne
[
          "/Library/JMTTrader/CrashReporter",
          "Maintain"
        ]
9input.match{}.event{}.process{}.nameNom du processusChaîneCrashReporter
10input.match{}.event{}.process{}.pathChemin d’accès au processusChaîne/Library/radar/CrashReporter
11input.match{}.event{}.process{}.pgidIdentifiant du groupe de processusEntier39356
12input.match{}.event{}.process{}.rgidIdentifiant du processus d’exécution du groupe réelEntier0
13input.match{}.event{}.process{}.ruidIdentifiant du processus d’exécution de l’utilisateur réelEntier0
14input.match{}.event{}.process{}.uuidIdentifiant d’évènement uniqueChaîne3a842375-29f4-4516-8c8e-aca148c3ab32
15input.match{}.event{}.process{}.signingInfo{}Tableau d’informations relatives à la signature du processusEntier, chaîne
{
          "appid": "com.microsoft.autoupdate.helper",
          "cdhash": "l+/pmKVmSUighiu5PFt6q4t4pfs=",
          "status": 0,
          "teamid": "UBF8T346G9",
          "signerType": 2,
          "authorities": [
            "Developer ID Application: Microsoft Corporation (UBF8T346G9)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ],
          "entitlements": [],
          "statusMessage": "No error.",
          "informationStage": "extended"
        }
16input.match{}.event{}.process{}.signingInfo{}.appidIdentifiant (processus)Chaînecom.scriptingosx.desktoppr
17input.match{}.event{}.process{}.signingInfo{}.cdhashHachage du répertoire de code du processusChaîneoA74w5FQMn1N1G7k1Ar0lyClqu8=
18input.match{}.event{}.process{}.signingInfo{}.statusStatut de la récupération des informations de signatureEntier-67068
19input.match{}.event{}.process{}.signingInfo{}.teamid Identifiant de signature de l’équipe de développement du processusChaîneJME5BW3F3R
20input.match{}.event{}.process{}.signingInfo{}.signerTypeType de signature d’objet et niveau de confiance impliciteEntier
  • 0 = Apple
  • 1 = App Store
  • 2 = Développeur
  • 3 = Ad hoc
  • 4 = Non signé
21input.match{}.event{}.process{}.signingInfo{}.authoritiesTableau des autorités de signatureChaîne
[
            "Developer ID Application: Jon Smith (JME5BW3F3R)",
            "Developer ID Certification Authority",
            "Apple Root CA"
          ]
22input.match{}.event{}.process{}.signingInfo{}.entitlementsTableau des droits accordés au processusChaînecom.apple.private.security.clear-library-validation
23input.match{}.event{}.process{}.signingInfo{}.statusMessageCode traduit du statut de la récupération des informations de signatureChaînecannot find code object on disk
24input.match{}.event{}.process{}.startTimestampHorodatage du démarrage du processusEntier1668430737
25input.match{}.event{}.process{}.orginalParentPIDIdentifiant du processus parentEntier1
26input.match.facts{}.versionVersion de la prévention des menaces au point de terminaisonEntier11568

GPUnifiedLogEvent

Évènements de journaux unifiés
#Nom du champDescriptionType de donnéesExemple de valeur
1input.match{}.event{}.senderExpéditeur du message du journalChaîneXProtectRadarSecurity
2input.match{}.event{}.processProcessus de l’expéditeur du message du journalChaîneXProtectRadarSecurity
3input.match{}.event{}.categoryCatégories de journauxChaîneXPEvent.structured
4input.match{}.event{}.subsystemSous-systèmes de journauxChaînecom.apple.XProtectFramework.PluginAPI
5input.match{}.event{}.composedMessageMessage du journalChaîne{\"caused_by\":[],\"status_message\":\"NoThreatDetected\",\"status_code\":20,\"execution_duration\":0.7135159969329834}
6input.match{}.event{}.senderImagePath Chemin de l’image de l’expéditeur du message du journalChaîne/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRadarSecurity
7input.match{}.event{}.processImagePath Chemin du processus de l’expéditeur du message du journalChaîne/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRLibrary/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRadarSecurity
8input.match{}.event{}.processIdentifierIdentifiant du processus de l’expéditeur du message du journalEntier6925

GPUSBEvent

Surveille les périphériques USB insérés dans les ordinateurs.

#Nom du champDescriptionType de donnéesExemple de valeur
1input.match.typeType d’évènement USBEntier
  • 0 = Appareil inséré
  • 1 = Appareil supprimé
2input.match.usbAddressAdresse USBEntier6
3input.match{}.device{}.mediaPathChemin d’accès à l’élément multimédiaChaîneIODeviceTree:/PCI0@0/RP05@1C,4/UPSB@0/DSB2@2/XHC2@0/@1:0
4input.match{}.device{}.protocolProtocoleChaîneUSB
5input.match{}.device{}.deviceModelModèleChaîneUltra USB 3.0
6input.match{}.device{}.isRemovableSupprimableBooléentrue
7input.match{}.device{}.mediaNameNom de l’élément multimédiaChaîneSanDisk Ultra USB 3.0 Media
8input.match{}.device{}.bsdMinormineur BSDEntier11
9input.match{}.device{}.vendorNameFournisseur du périphérique USBChaîneApple Inc.
10input.match{}.device{}.isWholeEntierBooléenfalse
11input.match{}.device{}.unitUnitéEntier1
12input.match{}.device{}.deviceSubclassSous-catégorie du périphérique USBEntier0
13input.match{}.device{}.serialNumberNuméro de série du périphérique USBChaîneFM79997PJ3VYB7+SET
14input.match{}.device{}.bsdUnitunité BSDEntier2
15input.match{}.device{},busPathChemin de busChaîneIODeviceTree:/PCI0@0/RP05@1C,4/UPSB@0/DSB2@2/XHC2@0
16input.match{}.device{}.isLeafFeuilleBooléentrue
17input.match{}.device{}.isInternalInterneBooléentrue
18input.match{}.device{}.busNameNom du busChaîneXHC2
19input.match{}.device{}.bsdMajormajeur BSDEntier1
20input.match{}.device{}.isEjectableÉjectableBooléentrue
21input.match{}.device{}.isEncryptedChiffréBooléentrue
22input.match{}.device{}.devicePathChemin d’accès au périphériqueChaîneIOService:/AppleACPIPlatformExpert/PCI0@0/AppleACPIPCI/RP05@1C,4/IOPP/UPSB@0/IOPP/DSB2@2/IOPP/XHC2@0/XHC2@00000000/SSP1@00100000/Ultra USB 3.0@00100000/IOUSBHostInterface@0/IOUSBMassStorageInterfaceNub/IOUSBMassStorageDriverNub/IOUSBMassStorageDriver/IOSCSILogicalUnitNub@0/IOSCSIPeripheralDeviceType00/IOBlockStorageServices
23input.match{}.device{}.bsdNameNom BSDChaînedisk2
24input.match{}.device{}.vendorIdIdentifiant du fournisseur du périphérique USBChaîne0x05ac
25input.match{}.device{}.contentContenu du périphériqueChaîneGUID_partition_scheme
26input.match{}.device{}.revisionRévision du périphériqueChaîne1.00
27input.match{}.device{}.sizeTaille du périphériqueEntier15376000000
28input.match{}.device{}.isNetworkVolumeVolume réseauBooléentrue
29input.match{}.device{}.blocksizeTaille des blocsEntier512
30input.match{}.device{}.productNameNom du produit USBChaîneApple Internal Keyboard / Trackpad
31input.match{}.device{}.mediaKindType de médiaChaîneIOMedia
32input.match{}.device{}.isWritablePériphérique accessible en écritureBooléentrue
33input.match{}.device{}.productIdIdentifiant produit du périphérique USBChaîne0x027b
34input.match{}.device{}.deviceClassCatégorie de périphérique USBEntier0
35input.match{}.device{}.encryptionDetailDétail du chiffrementEntier0