文件事件元数据引用

文件事件的总体风险严重程度，基于以下评分范围:

与此事件相关的所有风险指标的得分之和。得分越高，风险严重程度越高。

确定此事件的总体严重程度和评分的风险列表。要查看所有风险指标的列表，请登录到Code42控制台并选择设置风险．

指示这是否是您信任的活动，由您的数据的偏好和任何云数据连接配置为Incydr监控。(Forensic Search过滤器显示了这些选项包括而且排除，文件事件详细信息将显示这些值真正的而且假．)

• 包括/真正的:该活动发生在您的受信任活动列表中的位置，或在Incydr监控的企业云数据服务中观察到。受信任的活动还可能包括对事件为何受信任的附加解释。例如:True -受信任的浏览器URL．
• 排除/假:该活动发生在您的受信任活动列表之外的位置，或者在Incydr监控的企业云数据服务中未观察到该活动。

观察到的日期

端点文件活动
设备上的Code42服务检测到文件事件的日期和时间。事件的文件元数据基于此检测时间。该时间基于设备的系统时钟，以协调世界时(UTC)报告。

可以通过两种方式检测文件活动:

• 实时:当发生更改时由操作系统报告。
• 扫描仪:Code42应用程序每天执行一次扫描，以识别实时文件监视器可能遗漏的任何更改。扫描每24小时运行一次，不可配置。

云文件活动

Code42在云服务中检测活动的日期和时间。这可能不是活动发生的确切时间，但应该在5分钟内。该时间以协调世界时(UTC)报告。

电子邮件文件活动

Gmail而且微软Office 365¹:通知Code42发送带有附件的电子邮件的日期和时间²．这可能不是发送邮件的确切时间，但通常应该在5分钟之内。该时间以协调世界时(UTC)报告。

事件的唯一标识符。点击菜单图标旁边是标识符在文件顶部的事件详细信息并选择:

• 复制链接到事件详细信息复制此事件的可共享URL链接。
• 复制事件ID方法的字符串值标识符本身。使用此值搜索特定事件。

• 创建:设备上(对于端点事件)或云服务(对于云事件)中此文件名和文件路径检测到的第一个事件。创建在以下情况下报告事件:
  • 创建一个新文件(端点)或上传一个新文件(云)。
  • 将现有文件移动到新位置。
• 修改
  • 终点事件:已在设备上检测到该文件名和文件路径的Code42的文件内容已更改。
  • 云事件:云服务检测到新的文件版本。当修改文件内容或重命名、移动或共享文件时，会发生这种情况。
• 删除:以前检测到的文件的文件名不再存在于设备上(对于端点事件)或云服务(对于云事件)的此文件路径中。此事件显示的元数据是上次事件的元数据创建或修改事件。删除文件事件会在以下情况下报告:
  • 删除文件。
  • 移动或重命名文件。
• 浏览器或应用程序读取:通过浏览器、Slack、AirDrop、FTP客户端、curl等常用的文件上传应用打开文件。
• 在可移动媒体上创建:标准与创建事件操作为端点事件，但事件发生在可移动媒体上。
• 可移动媒体修改:标准与修改事件操作为端点事件，但事件发生在可移动媒体上。
• 已从可移动媒体删除:标准与删除事件操作为端点事件，但事件发生在可移动媒体上。
• 在同步文件夹中创建:标准与创建事件操作，但事件发生在与云服务同步的文件夹中。
• 在同步文件夹中修改:标准与修改事件操作，但事件发生在与云服务同步的文件夹中。
• 从同步文件夹中删除:标准与删除事件操作，但事件发生在与云服务同步的文件夹中。
• 印刷:文件被发送到打印机。仅限Mac和Linux设备。
• 共享:云服务中的文件被一个或多个用户共享。检查分享类型共享权限的详细信息。
• 电子邮件¹:该文件以电子邮件附件的形式发送²Gmail或Microsoft Office 365。
• 下载:从浏览器下载文件。
• 理清了:启用云存储数据对接， Incydr扫描您组织的云驱动器中的所有现有文件并创建一个理清了事件。详情请参见初始文件元数据收集扫描faq．
• Git推:文件被推送到Git存储库。

捕获文件事件的数据源:

• 端点:文件活动发生在用户设备上。
• 谷歌驱动:谷歌盘发生文件活动。
• OneDrive:文件活动发生在OneDrive。
• 盒子:文件活动发生在Box中。
• Gmail¹该文件以附件的形式发送²在Gmail。
• Office 365电子邮件¹该文件以附件的形式发送²在微软Office 365电子邮件中。
• Salesforce:该文件作为报告从Salesforce下载。

只有当您获得多个数据源的许可时，此字段才会出现。

标识与文件事件关联的共享权限更改:

• 有链接的人:对于大多数云存储服务，该文件不会出现在公共搜索引擎中，但任何人都可以访问该链接。用户不需要登录到云服务帐户就可以看到该文件。(对于继承了已弃用的“web上的公共”权限的旧谷歌驱动器文件，这些文件可能会在公共搜索引擎中列出，并可在整个万维网上访问。)共享文件的方法在云服务的用户界面中显示如下:
  • 方框:“有链接的人”
  • 谷歌驱动器:“任何有链接的人”或“网络上的公共”(已弃用)
  • 微软OneDrive:“任何有链接的人”
• 组织中的任何人:该文件不是公开可访问的，但对您公司域中的所有用户可用。对于谷歌驱动器，这包括域上的用户可以自己找到的文件，以及需要用户知道特定链接的文件。共享文件的方法在云服务的用户界面中显示如下:
  • 方框:“你公司的人”betway88help
  • 谷歌驱动器:“任何<您公司>的链接”betway88help
  • 微软OneDrive:“<你公司>的人有链接”betway88help
• 与特定的人分享:直接共享给单个用户。在大多数情况下，与某个文件共享的每个用户都被报告为一个单独的文件事件，因此如果同一个文件与多个人共享，则可能会看到该文件的多个事件。

点击查看共享或查看和管理共享查看共享文件的用户列表。然后Code42请求文件的共享权限列表并在一个新选项卡中显示它。如果你有内部风险管理或内部风险应对角色，您还可以撤销该选项卡上的文件共享权限，以删除这些用户对该文件的访问权限。

指示与以下事件关联的用户事件的观察者类型:

• 端点:用于登录设备上的Code42应用程序的Code42用户名。Code42用户名必须是电子邮件地址。
• 云:引起该事件的人员的云服务用户名。在极少数情况下，用户名如果不是由云服务提供，则可能为空白。
• 电子邮件:发送信息的人的地址。

如果用户名匹配Code42用户，a查看配置文件包括链接。请按此浏览用户配置文件，它会突出显示该用户在过去90天内的文件活动，这可能表明存在文件泄露风险。

Code42应用程序在设备上的用户的唯一标识符。

只适用于端点事件。

包含文件的云驱动器或文件夹的唯一标识符。通过此ID搜索可查找同一驱动器或文件夹中的文件的事件。

谷歌存在于云驱动器根级别的驱动器文件将显示该值没有一个．

一些云服务允许用户将一个文件添加到多个文件夹，所以目录ID可以显示值列表。

只适用于云事件。

文件的名称，包括文件扩展名。如果适用，下载文件的链接出现在文件名下面。要排除文件不可用的事件，请参见“没有文件可供下载”的原因．

端点文件活动

• Incydr Professional、Enterprise、Horizon和Gov F2:已过滤的文件可供下载。
• Incydr Basic, Advanced和Gov F1:如果文件包含在用户的Code42中备份文件选择，或在Code42环境中由其他用户备份的文件中，会出现下载文件内容的链接。

根据可用的版本，可能会出现一个或两个链接:

• 最新版本:下载备份归档文件的最新版本。不适用于Incydr Professional、Enterprise、Horizon和Gov F2。
• 精确匹配:下载与此文件事件的MD5哈希值匹配的文件版本。

如果最新版本也匹配此事件的MD5哈希，则只有精确匹配链接出现。

的用户身份登录betway365安全中心-恢复角色下载文件。

云文件活动

点击复制链接将URL复制到共享文件。您可以使用此链接在相应的云服务的文件查看器中打开该文件。访问该文件取决于以下条件:

• 该文件必须仍然存在于云服务中。
• 文件的共享权限。
  • 通常，您可以访问权限限制较小的共享文件(例如有链接的人分享类型)。您可能需要首先登录到您的云服务的用户帐户。例如，对于Box，必须登录到管理控制台才能使链接有效。
  • 您不能访问与特定人员共享的文件，除非您被包含在该列表中。如果你有betway365安全中心-恢复角色，你可以请求临时访问单击该文件视图文件．然后，Code42向云服务供应商请求临时访问权限，以代表您查看文件。如果请求成功，Code42将您添加到文件的共享权限中，并在一个新选项卡中打开该文件。(在查看云服务之前，您可能需要登录到云服务的用户帐户。)临时访问在15分钟后失效。

电子邮件文件活动

点击精确匹配下载附件。

报告活动

适用于Salesforce报告下载

根据Salesforce命名约定显示预测的文件名。

的文件名由Incydr报告的文件名可能与Salesforce报告的文件名不完全匹配，如果:

• web浏览器提示用户为下载的文件命名，并选择不同的名称。
• 用户导出一个只提供详细信息的报告．只有报表的默认文件名为“report”+ 13位字符串。前10位是epoch (UNIX时间戳)，后3位是毫秒。Incydr不捕获毫秒值，所以它附加了三个0。例如，如果用户设备上实际下载的文件名为report1642777476321， Incydr显示report1642777476000．

文件在用户设备上的位置。

仅限端点文件事件。云和电子邮件事件不包括文件路径。

文件大小。

不可用于谷歌文件类型(例如谷歌Sheets或谷歌Docs)或下载到非监控设备的Salesforce报表。

的MD5哈希文件内容的。如果文件不能被散列，则使用错误消息解释了为什么。

不适用于:

• 谷歌文件类型(例如，谷歌Sheets或谷歌Docs)。
• 自Code42初始提取以来，云服务中未被修改的文件。
• 大于3gb的文件
• Salesforce报告下载到不受监控的设备。

的SHA256散列文件内容的。如果文件不能被散列，则使用错误消息解释了为什么。

不适用于:

• 谷歌文件类型(例如，谷歌Sheets或谷歌Docs)。
• 自Code42初始提取以来，云服务中未被修改的文件。
• 大于3gb的文件
• Salesforce报告下载到不受监控的设备。

由设备的操作系统或数据连接报告的文件创建时间戳。这出现在协调世界时(UTC)中。

仅限Mac和Windows NTFS设备。

由设备的操作系统或数据连接报告的文件修改时间戳。

对于端点，这只表示对文件内容的更改。对文件权限、文件所有者或其他元数据的更改不会反映在此时间戳中。对于云数据连接，这个时间戳反映文件的内容、共享权限、名称或存储位置更改的时间。电子邮件数据连接不支持此时间戳。

这出现在协调世界时(UTC)中。

文件分类数据，由外部数据分类供应商报告。分类数据包含两个值:

• 分类:应用到文件的分类值。例如:机密。
• 供应商:对文件进行分类的供应商的名称。例如:微软信息保护(MIP)。

一个文件可以有多个分类。

如果启用Microsoft协同创作， Incydr无法检测到文件分类数据。

从

指示从哪里获取文件。点击查看更多来源的详细信息，包括:

• 观察到的日期
• 标识符
• 事件动作
• 事件的观察者
• 文件名¹
• MD5哈希¹
• 用户名
• 源类别¹
• 源名称¹
• 源领域¹
• 活动选项卡标题和url

如果同一文件被多次下载，可能会列出多个源。

¹可作为搜索过滤器在法医搜索。例如，使用搜索筛选器File >源域获取的文件与其他过滤器(如风险的严重程度或事件动作)，以识别来自特定领域的文件的潜在风险。

活动选项卡标题和url

在浏览器或其他应用程序读取文件时激活的浏览器选项卡的名称或应用程序窗口的标题。对于web浏览器，还可以包括活动选项卡的URL。此信息有助于确定上传文件的目的地。

• 对于Windows设备，将自动收集标签标题和URL。对于Mac设备，管理员必须首先授权Code42应用程序从web浏览器中捕获数据。
• url只支持Chrome、Firefox、Chromium Edge和Opera。所有浏览器都支持标签标题。
• 如果用户在上传过程中访问了多个选项卡，则会列出上传过程中访问的所有选项卡标题/ url。

如果不能捕获标签标题或URL，则将其列为不可用也可能显示出以下原因之一:

• 未设置权限:在mac电脑上，Code42需要特定的权限获取这些数据。
• 此应用程序不支持元数据:在不支持的浏览器中发生。
• 此应用程序未使用的元数据:在不使用标签标题或url的应用程序中发生的事件。
• 自定义应用程序不支持元数据:标签标题和url不会为您收集自定义监控应用程序列表．

只适用于浏览器或应用程序读取事件。

对于安装在用户设备上的云同步应用程序，指示发生活动的帐户类型。

• 个人:个人用户的个人(非公司)帐号。这可能表明文件泄露的风险更大。
• 业务:公司账户。要为特定业务帐户配置可信活动设置，请参见受信任活动>帐户名称．

仅适用于OneDrive和Dropbox事件。

发送文件的一般类别。要查看所有类别，请选择Destination >目的类别在“取证搜索”中筛选并审查可能值的列表。下面列出了一些最常见的类别作为示例。

• 云存储文件被发送到云服务，要么通过网络浏览器上传，要么通过安装的应用程序同步。
• 设备:文件通过AirDrop发送到另一个设备，移动到可移动媒体，或从云服务下载到设备上的同步文件夹。
• 电子邮件:文件通过浏览器上传到电子邮件提供商。
• 消息传递:通过消息服务共享文件。
• 社交媒体:该文件通过社交媒体共享。这并不一定意味着它是公开发布的;例如，该文件可以在LinkedIn上直接发送。
• 源代码存储库:文件被上传到通常用于存储代码文件的位置。
• 未分类的:目标无法匹配到特定的类别。
• 未知的:无法确定目的地。在mac上，这可能表示Code42没有所需的权限收集目标详细信息。

如果用户在上传过程中访问了多个选项卡，则目标类别可能表示多种可能性．检查活动选项卡标题和url确定所有可能的目的地。

适用于浏览器或应用程序读取而且云存储上传事件。

发送文件的具体位置。下面列出了一些类别的示例名称，但这不是一个完整的列表:

如果用户在上传过程中访问了多个选项卡，则目标名称可能表示多种可能性．检查活动选项卡标题和url确定所有可能的目的地。

适用于浏览器或应用程序读取而且云存储上传事件。

对端点同步文件夹事件(发生在与云服务同步的文件夹中):

登录到设备上的云同步应用程序的用户名。这个附加上下文可以帮助您确定文件是否与已批准的云服务同步。

例如，用户可以指示与谷歌驱动器同步的文件是否存储在您的公司谷歌工作区中，或存储在未经批准的个人谷歌帐户中。

• 不能用于同步到Dropbox的文件。
• 对于mac上的OneDrive事件，用户名有时可能包含下划线来代替非字母数字字符。例如，用户名clyde.bailey@example.com可能显示为clyde_bailey_example_com。

对于云事件:

由此事件授予访问文件的用户列表。不包括在此事件之前被授予文件访问权限的用户。点击视图显示可搜索的用户名列表。

这只包括与该文件显式共享的用户。它不会捕获只访问共享链接的用户。

这个列表可以包括:

• 个人电邮地址
• 群组电邮地址
• 姓和名(适用于没有电子邮件地址的OneDrive用户)

谷歌没有邮箱地址的驱动器用户(例如具有共享权限的服务或集成帐户)不在列表中。

收到邮件的人的电子邮件地址。包括来，Cc,Bcc收件人。

只适用于电子邮件事件。仅在授权一个或多个电子邮件数据源时可见。电子邮件详细信息不适用于端点或云事件。

电子邮件的主题。

只适用于电子邮件事件。仅在授权一个或多个电子邮件数据源时可见。电子邮件详细信息不适用于端点或云事件。

下载文件的设备的外部IP地址，由设备到Code42云的出站连接报告。

如果IP地址不包括在您的网内IP地址列表,远程应用风险指标。

只适用于下载事件。

内部网络中下载文件的设备的IP地址。这包括:

• 网络接口
• 虚拟网络接口控制器(vnic)
• 环回/不可路由地址(例如，127.0.01)

如果有多个活动网络接口，将显示一个列表。

只适用于下载事件。

与文件事件关联的设备的操作系统。

只适用于端点事件。

打印机的名称。

只适用于印刷事件。打印检测仅在Mac和Linux设备上支持。

打印作业的名称。这通常是打印文件的名称。点击下载文件下载打印文件的图像。

只适用于印刷事件。打印检测仅在Mac和Linux设备上支持。

可移动媒体连接的类型。例如:USB、eSATA、雷鸟。

只适用于可移动媒体事件。

可移动媒体的存储容量。

只适用于可移动媒体事件。

设备的媒体名称，由供应商/设备报告。这通常与可移动媒体设备名称，但可能因设备类型而异。例如，如果设备是USB机箱中的硬盘驱动器，则这可能是驱动器模型和机箱模型的组合。

此值不是所有设备都提供的，因此在某些情况下可能为空。

只适用于可移动媒体事件。

可移动媒体的卷名。

只适用于可移动媒体事件。

格式化卷/分区时分配给卷/分区的唯一标识符。Windows设备将其称为VolumeGuid．在Mac设备上，这是磁盘/分区的UUID，在运行Terminal命令时出现diskUtil信息．

只适用于可移动媒体事件。

可移动媒体设备序列号

连接的硬件的序列号，由设备的操作系统报告。

只适用于可移动媒体事件。

可移动媒体的品牌名称。例如:Lexar、SanDisk、希捷。

只适用于可移动媒体事件。

格式化卷时分配给卷的名称，由设备的操作系统报告。这也经常被称为“分区”的名称。

只适用于可移动媒体事件。