Comprendre les champs d'événements

Action pertinente pour le type d'événement, par exemple :

Durée en millisecondes entre le début et la fin d'une transaction ou opération. Par exemple, dans les événements DNS ou HTTP, cela reflète le temps entre la demande et la réponse correspondante.

Pour les sous-types d'événements DNS

Nom du PoP d'où le trafic sort, tel que défini dans une Règle Réseau utilisant une configuration NAT ou Routage via

Le champ n'est affiché que lorsque le trafic sort d'un PoP autre que celui auquel le site est connecté

Description de l'événement de Cato

Pour l'action BGP route ignore :

Nom du fichier pertinent

Note : Si le PoP ne peut pas capturer le nom du fichier réel au moment de la détection, il utilise alors la dernière partie de l'URL pour le nom du fichier, tel que Téléchargement.

Type de contenu du fichier (comme Archive ou Microsoft Office)

Pour les règles de Contrôle de fichier, form_data est une représentation générique des données soumises via un formulaire web, couramment utilisées dans les requêtes HTTP (par exemple, soumissions de formulaire multipart). Cela n'indique pas un type de fichier distinct.

Code de statut HTTP retourné (par exemple pour une requête DNS, serveur DNS-over-HTTPS (DoH) lorsque DoH est utilisé)

Pour les sous-types d'événements DNS et Sécurité des applications

L'ISP utilisé pour cet événement

Lorsqu'une adresse IP n'est pas fournie par le FAI, le message de l'événement est Les adresses IP sont assignées statiquement.

Note : Pour les sites avec plusieurs interfaces WAN actives utilisant différents ISP, la valeur Nom du FAI pourrait ne pas être exacte car les interfaces peuvent changer au cours de la durée de vie du flux de trafic.

Pour les événements IPS pertinents, affiche les données basées sur la base de connaissances Mitre Att&ck complète des adversaires cybernétiques

Nom de la Règle Réseau correspondante au trafic dans cet Événement

Une valeur de 0 indique que le flux a rencontré des problèmes de corruption de paquets ou était un flux système tel que l'accès à l'Interface Web du Socket.

L'adresse IP publique attribuée par le PoP d’où le trafic est sorti. Pour les sites utilisant Internet Traffic Backauling comme méthode de routage, ce champ affiche l'adresse IP locale de la plage native pour le site.

Le champ n'est pas affiché pour le trafic qui ne sort pas du PoP vers Internet, tel que les requêtes DNS internes et le trafic FTP.

Type de requête (c'est-à-dire requête DNS : A, AAAA, MX, ou PTR)

Pour les sous-types d'événements de sécurité des applications et DNS

Une liste d'applications identifiées dans le flux de traffic pour cet événement, dans le cadre du processus d'identification des applications.

Ce processus analyse le Trafic à différentes étapes du flux, collectant des informations sur tous les Protocoles, Services et Applications pour déterminer avec précision l'application finale. Ce champ fournit le contexte pour l'identification de l'application en montrant les applications identifiées tout au long des étapes du processus.

Taille du paquet de requête en octets (par exemple, paquet de requête DNS)

Pour les sous-types d'événement de Sécurité DNS et d'Application

Taille du paquet de réponse en octets (c-à-d. paquet de réponse DNS)

Pour les sous-types d'événement de DNS et Sécurité des applications

Événement IPS indiquant l'impact global d'une menace pour l'hôte ou le réseau:

Niveau de risque faible – risque minimal pour le réseau, tel que les publicitaires

Niveau de risque moyen – risque moyen pour le réseau, tel que les analyses de réseau

Niveau de risque élevé – risque significatif pour le réseau, tel que les logiciels espions ou les vers

Indique si le trafic dans l'événement était accéléré par TCP. Les valeurs sont 1 (accéléré) et 0 (non accéléré)

Le champ n'apparaît que pour les flux de trafic basés sur TCP

Pour les événements anti-malware, nom des logiciels malveillants

Pour les événements IPS, explique la raison pour laquelle le trafic a été bloqué

Résultat de l'analyse anti-malware

Explication de l'erreur TLS dans cet événement, les valeurs sont :

fermer la notification, message inattendu, mauvais enregistrement mac, échec de la décompression, échec de la poignée de main, pas de certificat, mauvais certificat, certificat non supporté, certificat révoqué, certificat expiré, certificat inconnu, paramètre illégal, déchiffrement échoué, débordement de l'enregistrement, CA inconnu, accès refusé, erreur de décodage, erreur de décryptage, restriction d'exportation, version de protocole, sécurité insuffisante, erreur interne, utilisateur annulé, pas de renégociation, identité PSK inconnue, inconnue

Pour des explications de ces erreurs, voir ce document

Le type d'erreur TLS pour cet événement, les valeurs sont :

Indique si le trafic dans l'événement était TLS. Les valeurs sont 1 (inspecté) et 0 (non inspecté)

Le champ apparaît uniquement pour les flux de trafic TLS

Taille totale de la transaction en octets, incluant à la fois la demande et la réponse

Pour les sous-types d'événement de Sécurité des Applications et DNS

L'agent utilisateur utilisé lors de la connexion tel qu'il apparaît dans le champ de l'Agent Utilisateur dans l'en-tête HTTP pour le trafic. Ce champ n'est rempli que lorsque le point de présence extrait sa valeur des requêtes HTTP, ce qui se produit actuellement dans les cas suivants :

Ce sont des exemples de valeurs d'agent utilisateur :

Une valeur vrai/faux qui indique si cet événement est :