如何識別與 Threat Intelligence Exchange 事件或警示對應的規則

技術文章 ID: KB82925
上次修改： 2023/2/27

環境

McAfee Threat Intelligence Exchange Module (TIEm) for VirusScan Enterprise 1.x
McAfee Threat Intelligence Exchange (TIE) Server 1.x
McAfee VirusScan Enterprise (VSE) 8.x

摘要

本文說明如何識別所指定 TIEm for VSE 事件的規則 ID 與名稱。

解決方案

識別哪一個 TIE 規則已觸發 TIEm for VSE 中的事件：

工作站
如果您只能存取產生事件的工作站，請遵循下列步驟：

使用 Notepad.exe 開啟 TIEMDetections.log 檔案。

附註：您可以在下列位置中找到該記錄檔：%PROGRAMDATA%\McAfee\TIEM\
在記錄檔中找到偵測的相關項目。
在同一筆記錄的 convictingRuleID: 值中找到 RuleID。

範例：

09/12/14 17:55:26 [I] [0xb34] "!TIEM_DETECTION":["file":"C:\USERS\USER\DESKTOP\SAMPLES\TestDetection1.EXE","user":"user1","reaction":
"repair","sha1":"ab3b93171b7c36db16bdd76e194701815ae23b92","md5":"0a43766a03339ea79393d4afe9d745e1","certSha1":"","size":"1024501",
"reputation":"1","convictingRule":"65540","convictingRuleID":"4","convictingRuleVersion":"1","detectionName":"TIEM/Suspicious.rule4",
"contentVersion":"1.0.0.268","clientVersion":"1.0.0.972","reputationSource":"tie","evaluationMode":"true","cached":"false","osVersion":"6.1.7600",
"osArchitecture":"64","agentGuid":"{868b368a-3841-11e4-307b-000c290c89e4}","timestamp":"1410540926","prompted":"false"]

附註：觸發偵測 TestDetection1.EXE 的 RuleID 為 RuleID=4。這相當於使用 GTI 檔案信用評價的偵測，如下表中所述。

ePolicy Orchestrator (ePO)
如果您只能存取 ePO 主控台，請遵循下列步驟：

登入 ePO 主控台。
在儀表板下方選取所需的報告，或依序按一下功能表、報告。
選取 TIE for VSE 模組事件，然後向下鑽研至相關的報告。

附註：如果未顯示 RuleID，請執行下列作業：
1. 依序按一下動作、選擇欄，然後在 Threat Intelligence Exchange for VSE 事件下方，選取規則 ID。
2. 按一下儲存。
3. 再次存取報告。

RuleID 與對應的規則名稱和說明：
下表僅供參考。表格中的詳細資料可能會因為 McAfee 發佈規則更新而過時。若要檢視最新的詳細資料，請如下所述參閱 ePO 主控台：

登入 ePO 主控台。
依序按一下功能表、組態、伺服器設定。
選取設定類別下方的 Threat Intelligence Exchange for VSE 模組。

附註：規則信用評價為 -1 表示分數值將為動態。

RuleID	規則識別碼	規則版本	規則信用評價	名稱	說明	詳細說明
0	0	0	-1	不適用	沒有規則會影響此信用評價。	沒有規則會影響此信用評價。
1	196609	3	-1	使用憑證信用評價識別信任的或惡意的檔案	根據簽署憑證的 GTI 或企業信用評價判斷檔案為信任的或惡意的。	此規則會根據簽署憑證的 GTI 或企業信用評價判斷檔案為信任的或惡意的。憑證信用評價必須是「已知的惡意項」、「已知的信任項」、「非常可能為惡意項」，或「非常可能為信任項」。
2	65538	1	-1	使用企業檔案信用評價識別受信任或惡意檔案	根據檔案的企業信用評價，確定其是受信任檔案，還是惡意檔案。	該規則根據檔案的企業信用評價，確定其是受信任檔案，還是惡意檔案。信用評價必須至少為「已知的惡意項」、「已知的信任項」、「非常可能為惡意項」或「非常可能為信任項」。
4	131076	2	-1	使用 GTI 檔案信用評價識別信任的或惡意的檔案	根據檔案的 GTI 信用評價判斷檔案為信任的或惡意的。	此規則會根據檔案的 GTI 信用評價判斷檔案為信任的或惡意的。信用評價必須至少為「已知的惡意項」、「已知的信任項」、「非常可能為惡意項」或「非常可能為信任項」。
10	65546	1	100	使用檔案的信用評價確定檔案為信任安裝程式的主要元件	根據檔案名稱與 GTI 或企業信用評價判斷檔案是否為信任安裝程式。	此規則會根據檔案的 GTI 或企業信用評價判斷檔案是否為信任安裝程式。此外也會查看檔案名稱與公司名稱，以判斷檔案是否為可信任的更新程式或安裝程式元件。
11	131083	2	100	使用檔案的憑證信用評價確定檔案為信任安裝程式的主要元件	根據檔案名稱與用於簽署檔案的 GTI 或企業憑證信用評價，來判斷檔案是否為信任安裝程式。	此規則會根據用於簽署檔案的憑證其 GTI 或企業信用評價，來判斷檔案是否為信任安裝程式。亦會考量檔案特性，例如檔案名稱與公司名稱，來判斷檔案是否為可信任的更新程式或安裝程式元件。
12	131084	2	100	根據雜湊演算法識別的特定檔案確定檔案為信任安裝程式的主要元件	根據檔案雜湊演算法與 GTI 或企業信用評價，來判斷檔案是否為信任安裝程式。	此規則會根據檔案雜湊演算法和 GTI 或企業檔案信用評價來判斷檔案是否為信任的安裝程式，藉此判斷檔案是否為可受信任的更新程式或安裝程式元件。
20	65556	1	-1	識別擁有 McAfee 權限的信任檔案	使用分散在 AV DAT 檔案中的憑證或雜湊演算法來識別信任的檔案。	此規則會使用分散在 AV DAT 檔案中，而且也可能已透過 McAfee 處理程序與驅動程式提升權限的憑證或雜湊演算法，來識別信任的檔案。
35	131107	2	1	驗證安裝	識別可用於驗證安裝的測試樣本。	此規則會識別可用於驗證安裝的測試樣本。
50	65586	1	85	識別信任建立者的信任檔案	識別由完全信任更新程式所建立的信任檔案。	此規則會識別由完全信任更新程式所建立且尚未修改過的信任檔案。
55	65591	1	99	識別需要更正信用評價的憑證	識別其信用評價層級需要更正之第一級廠商的憑證。	此規則會識別其信用評價層級需要更正之第一級廠商的憑證。
57	65593	1	-1	使用 GTI 檔案信用評價識別可能為信任項或惡意項的檔案	根據 GTI 檔案信用評價來判斷「可能為信任項」或「可能為惡意項」的檔案。	此規則會識別 GTI 信用評價不太明確的檔案，例如「可能為信任項」或「可能為惡意項」。
96	65632	1	0	智慧提示	針對網際網路瀏覽器以外的信任應用程式抑制程式庫載入的提示。	此規則會針對網際網路瀏覽器以外的信任應用程式抑制程式庫載入的提示。
97	131169	2	70	離線時根據一般系統安全性層級信任檔案	在系統離線 (與 TIE 伺服器和 GTI 中斷連線) 時，判定無可疑特性的檔案即為信任檔案。	此規則會在系統離線與 TIE 伺服器和 GTI 中斷連線時，將無可疑特性的檔案視為信任檔案。這是需執行的最後一個規則。
98	131170	2	70	離線時根據高度變更系統安全性層級信任檔案	在系統離線 (與 TIE 伺服器和 GTI 中斷連線) 時，判定無可疑特性的檔案即為信任檔案。	此規則會在系統離線與 TIE 伺服器和 GTI 中斷連線時，將無可疑特性的檔案視為信任檔案。這是需執行的最後一個規則。
99	131171	2	50	離線時根據低度變更系統安全性層級信任檔案	在系統離線 (與 TIE 伺服器和 GTI 中斷連線) 時，判定無可疑特性的檔案即為未知的檔案。	在系統離線與 TIE 伺服器和 GTI 中斷連線時，將無可疑特性的檔案視為未知的檔案。這是需執行的最後一個規則。
126	131198	2	85	識別信任的已簽署應用程式	識別已簽署且位於一般用於安裝程式之路徑中的檔案。這些檔案可能也有 [開始] 功能表項目。	此規則會識別已簽署並具備有效非自我簽署憑證的檔案。檔案位置會連同環境屬性 (例如 [開始] 功能表項目) 一起考量。
127	65663	1	85	識別信任的說明資源程式庫	識別信任軟體所使用的已簽署資源程式庫。	此規則會識別信任軟體所使用的資源程式庫。這些檔案已簽署且無惡意憑證信用評價。這些檔案擁有指出其為資源程式庫的特性 (例如無匯入項或匯出項)，且有少量的可攜式執行檔 (PE) 區段。
128	65664	1	85	識別信任的說明資源程式庫	識別信任軟體所使用的已簽署資源程式庫。這些程式庫通常作為說明文件的一部分使用。	此規則會識別信任軟體所使用的已簽署資源程式庫。這些程式庫通常作為應用程式說明文件的一部分使用。程式庫已經過簽署，且沒有惡意的憑證信用評價。這些程式庫擁有指出其為資源程式庫的特性 (例如無匯入項或匯出項)，且有少量的可攜式執行檔 (PE) 區段。這些程式庫也位於應用程式安裝資料夾中。
129	65665	1	85	識別信任的已簽署公用程式應用程式	識別已簽署且憑證不是不受信任的公用程式應用程式。這些檔案在系統啟動時不會啟動，且具有指示其為公用程式的特性	此規則會識別已簽署且憑證非為不受信任的公用程式應用程式。這些檔案在系統啟動時不會啟動。檔案位於指出工具或已安裝程式的資料夾 (例如：%programfiles%\subfolder) 中，可匯入 API 並具有與信任的公用程式應用程式一致的其他特性。
130	65666	1	85	識別信任的已簽署驅動程式	識別已簽署並安裝在本機系統上的裝置驅動程式。	此規則會識別已簽署並安裝在本機系統上的裝置驅動程式。這些驅動程式使用原生子系統，並且位於 %windir%\system32\drivers 或 driverstore 資料夾中。
131	65667	1	85	識別信任的已簽署數位版權管理 (DRM) 程式庫	識別 Windows 使用的已簽署且信任的數位版權管理程式庫。	此規則會識別已簽署且憑證受信任之信任的數位版權管理程式庫。這些檔案位在 Windows DRM 與 DRM 快取資料夾中。
132	65668	1	85	識別信任的已簽署檔案	識別憑證信用評價受信任的已簽署信任檔案。	此規則會識別憑證信用評價受信任的已簽署信任檔案。
133	65669	1	70	識別磁碟上的信任檔案	識別磁碟上在安裝 TIE 模組之前的非可疑檔案。	此規則會識別磁碟上在安裝 TIE 模組之前的非可疑檔案。NTFS 檔案日誌記錄指出這些檔案尚未遭到竄改。
134	131206	2	85	識別磁碟上在安裝 TIE 模組之前普遍存在於企業內的信任檔案。	識別磁碟上在安裝 TIE 模組之前非可疑且已存在於企業內的檔案。	此規則會識別磁碟上在安裝 TIE 模組之前的非可疑檔案。NTFS 檔案日誌記錄指出這些檔案尚未遭到竄改。這些檔案還必須已存在於企業內。
138	131210	2	70	識別信任未簽署的 Microsoft DOTNet 組件	偵測未使用已知的信任憑證簽署的 Microsoft DOTNet 組件。這些檔案可能不存在於企業內的多個電腦中。	此規則會偵測 Microsoft 所提供的檔案中，具有 CLR 代碼 (DOTNet)、已安裝到全域組件快取資料夾，且不包含可疑屬性的檔案。這些檔案可以包括即時編譯組件，可能存在或不存在於企業內的多個電腦中。
139	196747	3	70	識別信任的 DOTNet 組件	偵測已安裝到全域組件快取且存在於多個電腦中的 DOTNet 組件。	此規則會偵測具有 CLR 代碼 (DOTNet) 且已安裝到全域組件快取資料夾中的檔案。這些檔案存在於企業內的多個電腦中，表示檔案不是即時編譯組件。
140	131212	2	85	識別信任的普遍檔案	偵測長期存在於企業內且廣布在多個電腦間的檔案。	此規則會偵測因普遍存在且廣為所知而受到信任的檔案。這些檔案存在於企業內的多個電腦中且為人所知已超過 3 個月。
151	65687	1	70	識別 Web 安裝程式	識別已簽署且憑證非為不受信任的 Web 安裝程式。此外也會識別公司、產品和版本。	此規則會識別已簽署且憑證非為不受信任的 Web 安裝程式。此外也會識別 Web 安裝程式的公司、產品和版本。
152	65688	1	70	識別 Windows 安裝程式所解壓縮的安全檔案	根據執行程式處理程序、憑證和雲端信用評價識別由 Windows 安裝程式解壓縮的安全檔案。	此規則會根據執行程式處理程序、憑證和雲端信用評價識別由 Windows 安裝程式解壓縮的安全檔案。如果安裝程式植入的檔案有任何可疑之處，此規則將不會產生良好信用評價。
153	65689	1	70	識別 ATD 未報告為可疑的檔案。	識別 Advanced Threat Defense 未報告為可疑的檔案。	此規則會識別 Advanced Threat Defense 已評估且未報告為可疑的檔案。
205	65741	1	30	識別建立日期奇怪且可能未封裝的可疑檔案	識別可能未封裝、建立日期奇怪，且位於如 Temp 或 Downloads 資料夾等位置中的可疑檔案。	此規則會識別 Temp 或 Downloads 資料夾等位置中的可疑檔案。這些檔案可能未封裝，且有證據證明其日期屬性已遭竄改。
206	65742	1	30	識別建立日期奇怪且可能已封裝的可疑檔案	識別系統上任何位置中的可疑檔案。這些檔案可能已封裝，並顯示其日期已遭竄改的證據。	此規則會識別系統上任何位置中的可疑檔案。這些檔案經識別爲已封裝，且有證據證明其日期屬性已遭竄改。
207	131279	2	15	識別從資源回收筒執行的可疑檔案	識別從資源回收筒執行的可疑檔案。	此規則會識別在資源回收筒內並從資源回收筒執行的可疑檔案。
208	65744	1	15	識別從漫遊資料夾執行的可疑檔案	識別從使用者的漫遊資料夾執行或載入的可疑檔案。	此規則會識別以不正確的方式從使用者的漫遊資料夾 (%userprofile%\\appdata\\roaming) 執行或載入的可疑檔案。
209	131281	2	15	識別對使用者隱藏的可疑檔案	識別會在執行或載入時同時對使用者隱藏的可疑檔案。	此規則會識別已執行或載入並使用如檔案屬性等機制對使用者隱藏的可疑檔案。這些檔案看似重要作業系統檔案，但實際上並不是。
211	65747	1	15	識別由不受信任處理程序建立的可疑檔案	識別使用信用評價為可疑或已知惡意的處理程序建立的可疑檔案。	此規則會識別因為建立檔案的處理程序在建立時信用評價為「可能為惡意項」到「已知的惡意項」而造成的可疑檔案。此外，檔案自建立以來未曾修改過。
213	65749	1	30	根據檔案的封裝狀況決定是否視為可疑檔案	將已封裝或加密且封裝程式並非由合法軟體所使用的檔案視為可疑檔案。	此規則會在檔案經判斷為已封裝或加密，且檔案中沒有合法軟體常見的功能時，將其視為可疑檔案。
214	65750	1	30	識別可疑的鍵盤側錄程式	當檔案具有合法軟體不使用的功能且看起來像鍵盤側錄程式時，將其視為可疑檔案。	此規則會在檔案若具有合法軟體不使用的功能時，將其視為可疑檔案。此檔案會具有如匯入用於監視按鍵輸入的 API 等可疑的特性，且缺少版本資訊。
217	65753	1	15	識別可疑的密碼竊取程式	識別以不正確的方式安裝到使用者的漫遊設定檔，且具有可疑特性的檔案。	此規則會識別以不正確的方式安裝到使用者的漫遊設定檔，且具有可疑特性的檔案。該檔案會匯入用於監視按鍵輸入、擷取畫面或檢查是否有作用中偵錯程式的 API。
218	65754	1	30	識別隱藏存在時間的可疑檔案	識別會修改所顯示檔案存在時間的檔案。這些檔案包含可疑的特性，且看起來不像已安裝的程式。	此規則識別會修改所顯示檔案存在時間的檔案。這些檔案具有如已封裝、缺少版本資訊、標記為系統檔案或匯入可疑 API 等可疑的特性。它們不在已安裝程式常用的路徑內。
219	131291	2	15	識別隱藏在安全位置中的可疑檔案	識別安全位置中的檔案，例如為系統驅動程式保留的資料夾。這些檔案與該位置內的其他檔案不一致，且具有可疑的特性。	此規則會識別安全位置中的檔案，例如為系統驅動程式保留的資料夾。這些檔案不使用原生子系統，而且具有版本資訊缺少或不正確，或檔案類型與副檔名不相符等可疑的特性。
220	65756	1	30	識別新的可疑檔案	識別在系統中新發現的檔案，且檔案具有區段名稱遭到修改或二進位檔案進入點的程式碼遭到修改等可疑的特性。	此規則會識別建立日期在過去 30 天內且具有可疑特性的檔案。可疑的特性包括區段名稱遭到修改，或二進位檔案進入點的程式碼遭到修改。
221	262365	4	30	識別存在於少數系統中的新可疑檔案	偵測來自對外應用程式 (用於下載檔案的網路感知應用程式) 的檔案。這些檔案是在環境中新發現的檔案，且其特性和匯入功能指出這些檔案為可疑。	此規則會偵測來自對外應用程式 (用於下載檔案的網路感知應用程式) 的檔案。這些檔案在環境中不超過 10 天，而且僅存在於不超過 1% 的電腦中。這些檔案未經由普遍或受信任的憑證簽署，而且具有已封裝、無資源及缺少版本資訊等可疑的特性。它們還具有指出其為可疑檔案的匯入功能，例如使用原生 API、建立遠端執行緒、檢查是否有偵錯程式，或安裝分層服務供應商。
222	65758	1	15	識別隱藏為已安裝程式的可疑鍵盤側錄程式	偵測會匯入鍵盤側錄 API 且隱藏在已安裝程式所在位置中的檔案。這些檔案具備有少量的匯入項，及為系統中新發現的檔案，但看起來不像合法應用程式等可疑的特性。	此規則會偵測匯入鍵盤側錄 API 且隱藏在程式檔案資料夾或子資料夾內的檔案。這些檔案未註冊為服務或未在 [新增/移除程式] 內註冊。此外具有會在系統啟動時啟動的登錄機碼，以及有如少量匯入項或可攜式執行檔 (PE) 區段等可疑的特性。
233	65769	1	30	識別網際網路中的可疑檔案	識別來自不受信任 URL 的檔案。這些檔案是惡意的，且具有已封裝或存在時間短或不普遍等可疑的特性。	此規則會識別來自不受信任 URL 的檔案。這些檔案是惡意的，且具有已封裝、存在時間短於 15 天，以及僅存在於不到 10 個系統或 1% 企業中等可疑的特性。
234	65770	1	15	識別 ATD 報告為可疑的檔案	識別 Advanced Threat Defense 報告為可疑的檔案。	此規則會識別 Advanced Threat Defense 報告為可疑的檔案。
237	131309	2	15	尋找使用已撤銷憑證簽署的可疑檔案	偵測內嵌已撤銷憑證的檔案。這些檔案是新發現的檔案，且僅存在於少數系統中。	此規則會偵測內嵌已撤銷憑證的檔案。這些檔案在環境中不超過 5 天，而且僅存在於不超過 1% 的電腦中。
240	65776	1	30	識別具有主要出現在勒索軟體中之特性的可疑檔案	識別具有主要出現在勒索軟體中之特性且位於不常用位置的可疑檔案	識別具有主要出現在勒索軟體中之特性且位於不常用位置的可疑檔案
241	131313	2	30	識別存在於少數系統中的新可疑檔案 (v2)	這將偵測在少數系統上發現的新檔案，且這些新檔案的各種特性和系統位置指出其行為可疑。	偵測來自對外應用程式 (用於下載檔案的網路感知應用程式) 的檔案。這些檔案是在環境中新發現的檔案，且其特性和匯入功能指出這些檔案為可疑。
246	65782	1	30	識別存在於少數系統中的新可疑檔案 (v3)	這將偵測在少數系統上發現的新檔案，且這些新檔案的各種特性和系統位置指出其行為可疑。	偵測來自對外應用程式 (用於下載檔案的網路感知應用程式) 的檔案。這些檔案是在環境中新發現的檔案，且其特性和匯入功能指出這些檔案為可疑。

附註：總共有 51 項規則，皆有預先定義的狀態及目標信用評價，視套用以下何種組態而定：

高度變更系統
一般系統
低度變更系統

安全計劃：高

RuleID	必要	狀態
1	是	已啟用
2	是	已啟用
4	是	已啟用
10	是	已啟用
11	是	已啟用
12	是	已啟用
20	是	已啟用
35	是	已啟用
50	是	已啟用
55	是	已啟用
57	否	已評估
96	是	已啟用
97	否	已啟用
98	否	已啟用
99	否	已啟用
126	是	已啟用
127	是	已啟用
128	是	已啟用
129	是	已啟用
130	是	已啟用
131	是	已啟用
132	是	已啟用
133	是	已啟用
134	是	已啟用
138	否	已啟用
139	是	已啟用
140	是	已啟用
151	是	已啟用
152	否	已評估
153	否	已評估
205	否	已評估
206	否	已評估
207	否	已啟用
208	否	已啟用
209	否	已啟用
211	否	已評估
213	否	已評估
214	否	已啟用
217	否	已啟用
218	否	已評估
219	否	已啟用
220	否	已評估
221	否	已評估
222	否	已啟用
233	否	已評估
234	否	已啟用
237	否	已評估
240	否	已評估
241	否	已評估
246	否	已評估

安全計劃：中

RuleID	必要	狀態
1	是	已啟用
2	是	已啟用
4	是	已啟用
10	是	已啟用
11	是	已啟用
12	是	已啟用
20	是	已啟用
35	是	已啟用
50	是	已啟用
55	是	已啟用
57	否	已評估
96	是	已啟用
97	否	已啟用
98	否	已啟用
99	否	已啟用
126	是	已啟用
127	是	已啟用
128	是	已啟用
129	是	已啟用
130	是	已啟用
131	是	已啟用
132	是	已啟用
133	是	已啟用
134	是	已啟用
138	否	已啟用
139	是	已啟用
140	是	已啟用
151	是	已啟用
152	否	已評估
153	否	已評估
205	否	已評估
206	否	已評估
207	否	已啟用
208	否	已啟用
209	否	已啟用
211	否	已評估
213	否	已評估
214	否	已啟用
217	否	已啟用
218	否	已評估
219	否	已啟用
220	否	已評估
221	否	已評估
222	否	已啟用
233	否	已評估
234	否	已啟用
237	否	已評估
240	否	已評估
241	否	已評估
246	否	已評估

安全計劃：低

RuleID	必要	狀態
1	是	已啟用
2	是	已啟用
4	是	已啟用
10	是	已啟用
11	是	已啟用
12	是	已啟用
20	是	已啟用
35	是	已啟用
50	是	已啟用
55	是	已啟用
57	否	已評估
96	是	已啟用
97	否	已啟用
98	否	已啟用
99	否	已啟用
126	是	已啟用
127	是	已啟用
128	是	已啟用
129	是	已啟用
130	是	已啟用
131	是	已啟用
132	是	已啟用
133	是	已啟用
134	是	已啟用
138	否	已啟用
139	是	已啟用
140	是	已啟用
151	是	已啟用
152	否	已評估
153	否	已評估
205	否	已評估
206	否	已評估
207	否	已啟用
208	否	已啟用
209	否	已啟用
211	否	已評估
213	否	已評估
214	否	已啟用
217	否	已評估
218	否	已評估
219	否	已啟用
220	否	已評估
221	否	已評估
222	否	已啟用
233	否	已評估
234	否	已啟用
237	否	已評估
240	否	已評估
241	否	已評估
246	否	已評估

免責聲明

本文內容源於英文。如果英文內容和翻譯有差異，請一律以英文內容為準。其中部分內容是使用 Microsoft 機器翻譯技術翻譯的。

受影響的產品

語言：

下列為此文章的語言版本：

Knowledge Center

如何識別與 Threat Intelligence Exchange 事件或警示對應的規則

環境

摘要

解決方案

免責聲明

受影響的產品

語言：

Title

Title

Knowledge Center

如何識別與 Threat Intelligence Exchange 事件或警示對應的規則

環境

摘要

解決方案

免責聲明

受影響的產品

語言：

選擇所在地區

Title

Title