Skip to main content

XProtect Management Client

Generische Ereignis- und Datenquellen (Eigenschaften)

Zuletzt aktualisiert: 3 Minuten Lesezeit
Version2026r2
SpracheDeutsch

Wichtig

Diese Funktion ist nur verfügbar, wenn XProtect installiert ist.

Generisches Ereignis (Eigenschaften)

Komponente

Voraussetzung

Name

Einmaliger Name für das generische Ereignis. Der Name muss einmalig unter allen Ereignistypen sein, wie z. B. benutzerdefinierte Ereignisse, Analyseereignisse und so weiter.

Aktiviert

Generische Ereignisse sind standardmäßig aktiviert. Deaktivieren Sie das Kontrollkästchen, um das Ereignis zu deaktivieren.

Ausdruck

Ausdruck, nach dem das System bei der Analyse von Datenpaketen suchen soll. Sie können die folgenden Operatoren verwenden:

  • ( ): Wird verwendet, um sicherzustellen, dass verwandte Begriffe zusammen als logische Einheit verarbeitet werden. Sie können verwendet werden, um eine bestimmte Verarbeitungsreihenfolge in der Analyse zu erzwingen

Beispiel: Die Suchkriterien (User001 OR Door053) AND Sunday Verarbeiten Sie zuerst die beiden Begriffe in der Klammer und kombinieren Sie dann das Ergebnis mit dem letzten Teil der Zeichenfolge. Das System sucht also zunächst nach Paketen, die einen der beiden Begriffe enthalten User001 oder Door053, nimmt dann die Ergebnisse und durchläuft sie, um zu sehen, welche Pakete auch den Begriff enthalten Sunday.

  • ANDMit einem: AND Anwender, legen Sie fest, dass die Begriffe auf beiden Seiten der AND Der Anwender muss anwesend sein

Beispiel: Die Suchkriterien User001 AND Door053 AND Sunday Gibt nur dann ein Ergebnis zurück, wenn die Begriffe User001, Door053 und Sunday sind alle in Ihrer Formel enthalten. Es reicht nicht aus, wenn nur einer oder zwei der Begriffe darin vorkommen. Je mehr Begriffe Sie kombinieren mit AND, je weniger Ergebnisse Sie abrufen.

  • ORMit einem: OR Operator, legen Sie fest, dass entweder der eine oder der andere Begriff vorhanden sein muss

Beispiel: Die Suchkriterien "User001" OR "Door053" OR "Sunday" Gibt alle Ergebnisse zurück, die entweder User001, Door053 oder Sunday. Je mehr Begriffe Sie kombinieren mit OR, je mehr Ergebnisse Sie erhalten.

Ausdruckstyp

Legt fest, wie genau das System beim Analysieren von erhaltenen Datenpaketen vorgehen soll. Es gibt die folgenden Optionen:

  • Suche: Damit das Ereignis eintritt, muss das erhaltene Datenpaket den Text enthalten, der im Feld Ausdruck angegeben wurde, aber es darf auch noch weitere Inhalte haben

    Beispiel: Wenn Sie festgelegt haben, dass das erhaltene Paket die folgenden Bedingungen enthalten soll User001 und Door053, wird das Ereignis ausgelöst, wenn das erhaltene Paket die Bedingungen enthält User001 und Door053 und Sunday Da Ihre beiden erforderlichen Begriffe im erhaltenen Paket enthalten sind

  • Übereinstimmung: Damit das Ereignis eintritt, muss das erhaltene Datenpaket genau den Text enthalten, der im Feld Ausdruck angegeben wurde, und nichts anderes

  • Regulärer Ausdruck: Damit das Ereignis eintritt, muss der Text, der im Feld Ausdruck angegeben wurde, bestimmte Muster in den erhaltenen Datenpaketen angeben

Wenn Sie von Suche oder Übereinstimmung auf Regulärer Ausdruck wechseln, wird der Text im Feld Ausdruck automatisch in einen regulären Ausdruck übersetzt.

Priorität

Die Priorität muss als Zahl zwischen 0 (höchste Priorität) und 999999 (niedrigste Priorität) angegeben werden.

Dasselbe Datenpaket kann auf unterschiedliche Ereignisse analysiert werden. Mit der Funktion des Zuweisens einer Priorität zu jedem Ereignis können Sie einstellen, welches Ereignis ausgelöst werden soll, wenn ein erhaltenes Paket mit den Kriterien von mehreren Ereignissen übereinstimmt.

Wenn das System ein TCP- und/oder UDP-Paket erhält, beginnt die Analyse des Pakets auf das Ereignis, das die höchste Priorität hat. Auf diese Weise wird nur das Ereignis mit der höchsten Priorität ausgelöst, wenn ein Paket mit den Kriterien von mehreren Ereignissen übereinstimmt. Wenn ein Paket mit den Kriterien von mehreren Ereignissen mit identischer Priorität übereinstimmt, z. B. zwei Ereignisse mit Priorität 999, werden alle Ereignisse dieser Priorität ausgelöst.

Prüfen Sie, ob der Ausdruck mit dem Ereignis-String übereinstimmt:

Ein Ereignis-String, der mit dem Ausdruck abgeglichen werden soll, der im Feld Ausdruck eingegeben wurde.