Comprender los campos de eventos

Acción relevante para el tipo de evento, por ejemplo:

Duración en milisegundos entre el inicio y el final de una transacción u operación. Por ejemplo, en eventos DNS o HTTP, esto refleja el tiempo entre la solicitud y la respuesta correspondiente.

Para subtipos de evento DNS

Nombre del PoP por el que el tráfico sale, según se define en una Regla de Red usando una configuración de NAT o Enrutar vía

El campo se muestra solo cuando el tráfico sale de un PoP distinto del que está conectado el sitio

Descripción de Cato del evento

Para la acción de ignorar ruta BGP:

Nombre del archivo relevante

Nota: Si el PoP no puede capturar el Nombre de Archivo, utiliza la última parte de la URL para el Nombre de Archivo, como Descargar.

Tipo de contenido de archivo (como Archivo o Microsoft Office)

Para Reglas de Control de Archivos, form_data es una representación genérica de datos enviados a través de un formulario web, comúnmente utilizada en solicitudes HTTP (por ejemplo, envíos de formularios multipartes). No indica un tipo de archivo distinto.

Código de estado HTTP devuelto (por ejemplo, para solicitud DNS, servidor DNS-over-HTTPS (DoH) cuando se utiliza DoH)

Para subtipos de eventos de DNS y Seguridad de Aplicaciones

El ISP utilizado para este evento

Cuando el ISP no proporciona la dirección IP, el mensaje del evento es Las Direcciones IP se asignan estáticamente.

Nota: Para sitios con múltiples interfaces WAN activas que utilizan diferentes ISP, el valor del Nombre del Proveedor de Servicios de Internet (ISP) podría no ser preciso porque las interfaces pueden cambiar durante el ciclo de vida del flujo de tráfico.

Para eventos IPS relevantes, muestra datos basados en la Base de Conocimientos Mitre Att&ck de adversarios cibernéticos.

Nombre de la Regla de Red igualada por el tráfico en este evento

Un valor de 0 indica que el flujo experimentó problemas de corrupción de paquetes, o fue un flujo del sistema como acceder al Interfaz Web del Socket

La dirección IP pública asignada por el PoP desde el cual salió el tráfico. Para sitios que utilizan Internet Traffic Backhauling como método de enrutamiento, este campo muestra la dirección IP Local del Rango Nativo para el sitio.

El campo no se muestra para el tráfico que no sale del PoP hacia Internet, como las solicitudes internas de DNS y el tráfico FTP.

Tipo de consulta (es decir, consulta DNS: A, AAAA, MX o PTR)

Para sub-tipos de eventos de Seguridad de Aplicaciones y DNS

Una lista de aplicaciones identificadas en el flujo de tráfico para este evento, como parte del proceso de identificación de aplicaciones.

Este proceso analiza el tráfico en diferentes etapas del flujo, recopilando información sobre todos los protocolos, servicios y aplicaciones para hacer una determinación final precisa de la aplicación. Este campo proporciona contexto para la identificación de aplicaciones mostrando las aplicaciones identificadas a lo largo de las etapas del proceso.

Tamaño del paquete de solicitud en bytes (es decir, paquete de solicitud DNS)

Para tipos de evento de subtipos de Seguridad de Aplicación y DNS

Tamaño del paquete de respuesta en bytes (es decir, paquete de respuesta DNS)

Para subtipos de eventos de DNS y Aplicación de Seguridad

Evento de IPS que indica el impacto global de una amenaza para el host o la red:

Nivel de riesgo bajo - riesgo mínimo para la red, como el adware

Nivel de riesgo medio - riesgo medio para la red, como los escaneos de red

Nivel de riesgo alto - riesgo significativo para la red, como el spyware o gusanos

Muestra si el tráfico en el evento fue acelerado por TCP. Los valores son 1 (acelerado) y 0 (no acelerado)

El campo aparece solo para flujos de tráfico basados en TCP

Para eventos anti-malware, nombre del malware

Para eventos IPS, explica la razón por la cual el tráfico fue bloqueado

Resultado del escaneo anti-malware

Explicación del error TLS en este evento, los valores son:

notificación de cierre, mensaje inesperado, MAC de registro incorrecto, fallo de descompresión, fallo de enlace de manos, sin certificado, certificado incorrecto, certificado no soportado, certificado revocado, certificado expirado, certificado desconocido, parámetro ilegal, falla de descifrado, desbordamiento de registro, CA desconocida, acceso denegado, error de decodificación, error de descifrado, restricción de exportación, versión de protocolo, seguridad insuficiente, error interno, usuario cancelado, sin renegociación, identidad PSK desconocida, desconocido

Para explicaciones de estos errores, consulte este documento

El tipo de error TLS para este evento, los valores son:

Muestra si el tráfico en el evento fue TLS. Los valores son 1 (inspeccionado) y 0 (no inspeccionado)

El campo aparece solo para flujos de tráfico TLS

Tamaño total de la transacción en bytes, incluyendo tanto la petición como la respuesta

Para subtipos de eventos de Seguridad DNS y de Aplicación

El agente de usuario usado en el inicio de sesión tal como aparece en el campo de Agente de Usuario en el encabezado HTTP para el tráfico. Este campo solo se completa cuando el pop extrae su valor de solicitudes HTTP, lo que ocurre actualmente en los siguientes casos:

Estos son ejemplos de valores de agente de usuario:

Un valor verdadero/falso que indica si este evento es: