4.4 Ereignisfelder

Abhängig vom jeweiligen Ereignis verfügt jedes Ereignis über Felder, die nicht ausgefüllt sein müssen. Die Werte für diese Ereignisfelder können Sie anzeigen, indem Sie eine Suche durchführen oder einen Bericht ausführen. Jedes Feld verfügt über einen Kurznamen, der in der erweiterten Suche verwendet wird. Die Werte für die meisten dieser Felder werden in der detaillierten Ereignisansicht angezeigt. Andere Werte werden ebenfalls in der Basisereignisansicht angezeigt.

Tabelle 4-1 Ereignisfelder

Feld

Kurzname

Beschreibung

Anzeige in der Basisansicht

Anzeige in der Detailansicht

Schweregrad

sev

Schweregrad eines Ereignisses auf einer Skala von 0 (informativ) bis 5 (kritisch)

X

X

EventTime

dt

Zeitstempel des Ereignisses. Hierbei handelt es sich entweder um den Zeitstempel von Identity Audit oder um den Zeitstempel der ursprünglichen Ereignisquelle (falls "Verbürgte Ereigniszeit" aktiviert wurde)

X

X

EventName

evt

Kurzname des Ereignisses

X

X

Meldung

msg

Detaillierte Ereignismeldung

 

X

ProductName

pn

Produkt, das das Ereignis generiert hat; die Ereignisquelle.

Wird nach dem Ereignisnamen angezeigt.

X

X

InitUserName

sun

Benutzername des Benutzers, der das Ereignis initiiert hat

X

X

InitUserID

iuid

Benutzer-ID des Benutzers, der das Ereignis initiiert hat

 

X

InitUserDomain

rv35

Domäne des Benutzers, der das Ereignis initiiert hat

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

InitHostName

shn

Hostname des Computers, auf dem das Ereignis initiiert wurde

X

X

InitHostDomain

rv42

Domäne des Computers, auf dem das Ereignis initiiert wurde

X

X

InitIP

sip

IP-Adresse des Computers, auf dem das Ereignis initiiert wurde

 

X

InitServicePort

spint

Portnummer, von der aus das Ereignis initiiert wurde (z.B. HTTP)

 

X

InitServicePortName

sp

Typ des Ports, von dem aus das Ereignis initiiert wurde (z.B. HTTP)

 

X

TargetUserName

dun

Benutzername des Benutzers, der als Ziel des Ereignisses diente

X

X

TargetUserID

tuid

Benutzer-ID des Benutzers, der als Ziel des Ereignisses diente

 

X

TargetUserDomain

rv35

Domäne des Benutzers, der als Ziel des Ereignisses diente

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

X

TargetHostName

dhn

Hostname des Computers, der als Ziel des Ereignisses diente

X

X

TargetHostDomain

rv45

Domäne des Computers, der als Ziel des Ereignisses diente

X

X

TargetIP

dip

IP-Adresse des Computers, der als Ziel des Ereignisses diente

 

X

TargetServicePort

dpint

Portnummer, die als Ziel des Ereignisses diente (z.B. 80)

 

X

TargetServicePortName

dp

Typ des Ports, der als Ziel des Ereignisses diente (z.B. HTTP)

 

X

TargetTrustName

ttn

Funktion des Benutzers, der als Ziel des Ereignisses diente (z.B. FinanceAdmin)

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

TargetTrustID

ttid

Nummerische ID, die die Funktion des Benutzers darstellt, der als Ziel des Ereignisses diente

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

TargetTrustDomain

ttd

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

EffectiveUserName

euname

Name des Benutzers, den der InitUser verkörpert (z.B. root mit dem Kürzel su); folgt dem Benutzernamen des Initiators (Benutzer-ID des Initiators) wie in der detaillierten Ereignisansicht

 

X

EffectiveUserID

euid

Nummerische ID des Benutzers, den der InitUser verkörpert (z.B. root mit dem Kürzel su)

 

X

ObserverHostName

sn

Hostname des Computers, der das Ereignis an das Verwaltungssystem für Sicherheitsinformationsereignisse weitergeleitet hat (z.B. der Hostnamen eines Syslog-Servers).

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

ObserverHostDomain

obsdom

Domäne des Computers, der das Ereignis an das Verwaltungssystem für Sicherheitsinformationsereignisse weitergeleitet hat (z.B. die Domäne eines Syslog-Servers).

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

ObserverIP

obsip

IP-Adresse des Computers, der das Ereignis an das Verwaltungssystem für Sicherheitsinformationsereignisse weitergeleitet hat (z.B. die IP-Adresse eines Syslog-Servers).

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

ReporterHostName

rn

Hostname des Computers, der das Ereignis an einen Beobachter gemeldet hat

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

 

ReporterHostDomain

repdom

Domäne des Computers, der das Ereignis an einen Beobachter gemeldet hat

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

 

ReporterIP

repip

IP-Adresse des Computers, der das Ereignis an einen Beobachter gemeldet hat

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

 

SensorType

st

Der Einzelbuchstabenbezeichner für den Sensortyp (N=Netzwerk, H=Host, O=Betriebssystem, A und I=Audit-Ereignisse von Identity Audit, P=Identity Audit-Leistungsereignisse).

Durchsuchbar, aber in keiner Ereignisansicht angezeigt

 

 

DataName

fn

Im Ereignis gemeldeter Datenobjektname (z.B. der Dateiname oder der Name der Datenbanktabelle)

 

X

DataContext

rv36

Container für das FileName-Datenobjekt (z. B. ein Verzeichnis für eine Datei oder eine Datenbankinstanz für eine Datenbanktabelle)

 

X

TaxonomyLevel1

rv50

Zielklassifikation für das Ereignis. Angezeigt unter dem Ereignisnamen im Format:

TaxonomyLevel1>> TaxonomyLevel2>> TaxonomyLevel3>> TaxonomyLevel4

X

X

TaxonomyLevel2

rv51

Unterzielklassifikation für das Ereignis. Angezeigt unter dem Ereignisnamen im Format:

TaxonomyLevel1>> TaxonomyLevel2>> TaxonomyLevel3>> TaxonomyLevel4

X

X

TaxonomyLevel3

rv52

Aktionsinformationen für das Ereignis. Angezeigt unter dem Ereignisnamen im Format:

TaxonomyLevel1>> TaxonomyLevel2>> TaxonomyLevel3>> TaxonomyLevel4

X

X

TaxonomyLevel4

rv53

Detailinformationen für das Ereignis. Angezeigt unter dem Ereignisnamen im Format:

TaxonomyLevel1>> TaxonomyLevel2>> TaxonomyLevel3>> TaxonomyLevel4

X

X

Einige Felder sind in Tokens übersetzt. Wenn Felder in Tokens übersetzt werden, ist es möglich, nach einem einzelnen Wort im Feld ohne Platzhalter zu suchen. Die Felder werden auf der Basis von Leerzeichen und anderen Sonderzeichen in Tokens übersetzt. Für diese Felder werden Artikel wie "ein" oder "der" aus dem Suchindex entfernt.