Atributos y ayudantes de Windows Agent

Documentos > Datadog Security > Cloud Security Management Threats > Atributos y ayudantes de Windows Agent

Atributos y ayudantes de Windows Agent

Esta documentación describe los atributos y los ayudantes de Windows del Security Language (SECL) de Datadog.

Las reglas que utilicen atributos y ayudantes de Windows deben incluir un campo de filtro de regla de sistema operativo como el siguiente.

id: [...]
expression: [...]
filters:
  - Sistema operativo == "Windows"

Activadores

Los activadores son eventos que corresponden a tipos de actividad observados por el sistema. El conjunto de activadores admitidos actualmente es:

Evento SECL	Tipo	Definición	Versión del Agent
`change_permission`	Registro	Se ha modificado un permiso	7.55
`create`	Archivo	Se ha creado un archivo	7.52
`create_key`	Registro	Se ha creado una clave de registro	7.52
`delete`	Archivo	Se ha eliminado un archivo	7.54
`delete_key`	Registro	Se ha eliminado una clave de registro	7.52
`exec`	Proceso	Se ha ejecutado o bifurcado un proceso	7.27
`exit`	Proceso	Se ha cerrado un proceso	7.38
`open_key`	Registro	Se ha abierto una clave de registro	7.52
`rename`	Archivo	Se ha renombrado un archivo	7.54
`set_key_value`	Registro	Se ha definido un valor de clave de registro	7.52
`write`	Archivo	Se ha escrito un archivo	7.54

Variables

Las variables SECL son variables predefinidas que pueden utilizarse como valores o como parte de valores.

Por ejemplo, la regla que utiliza una variable process.pid tiene este aspecto:

open.file.path == "/proc/${process.pid}/maps"

Lista de las variables disponibles:

Variable SECL	Definición	Versión del Agent
`process.pid`	PID de proceso	7.33

Atributos de evento

Común a todos los tipos de eventos

Propiedad	Definición
`container.created_at`	Marca de tiempo de la creación del contenedor
`container.id`	ID del contenedor
`container.runtime`	Tiempo de ejecución que gestiona el contenedor
`container.tags`	Etiquetas (tags) del contenedor
`event.hostname`	Nombre de host asociado al evento
`event.origin`	Origen del evento
`event.os`	Sistema operativo del evento
`event.service`	Servicio asociado al evento
`event.timestamp`	Marca de tiempo del evento
`process.ancestors.cmdline`	Línea de comandos del proceso
`process.ancestors.container.id`	ID del contenedor
`process.ancestors.created_at`	Marca de tiempo de la creación del proceso
`process.ancestors.envp`	Variables de entorno del proceso
`process.ancestors.envs`	Nombres de variables de entorno del proceso
`process.ancestors.file.name`	Nombre base del archivo
`process.ancestors.file.name.length`	Longitud de la cadena correspondiente
`process.ancestors.file.path`	Ruta del archivo
`process.ancestors.file.path.length`	Longitud de la cadena correspondiente
`process.ancestors.pid`	ID de proceso del proceso (también llamado ID del grupo de subprocesos)
`process.ancestors.ppid`	ID del proceso principal
`process.ancestors.user`	Nombre de usuario
`process.ancestors.user_sid`	SId del usuario del proceso
`process.cmdline`	Línea de comandos del proceso
`process.container.id`	ID del contenedor
`process.created_at`	Marca de tiempo de la creación del proceso
`process.envp`	Variables de entorno del proceso
`process.envs`	Nombres de variables de entorno del proceso
`process.file.name`	Nombre base del archivo
`process.file.name.length`	Longitud de la cadena correspondiente
`process.file.path`	Ruta del archivo
`process.file.path.length`	Longitud de la cadena correspondiente
`process.parent.cmdline`	Línea de comandos del proceso
`process.parent.container.id`	ID del contenedor
`process.parent.created_at`	Marca de tiempo de la creación del proceso
`process.parent.envp`	Variables de entorno del proceso
`process.parent.envs`	Nombres de variables de entorno del proceso
`process.parent.file.name`	Nombre base del archivo
`process.parent.file.name.length`	Longitud de la cadena correspondiente
`process.parent.file.path`	Ruta del archivo
`process.parent.file.path.length`	Longitud de la cadena correspondiente
`process.parent.pid`	ID de proceso del proceso (también llamado ID del grupo de subprocesos)
`process.parent.ppid`	ID del proceso principal
`process.parent.user`	Nombre de usuario
`process.parent.user_sid`	SId del usuario del proceso
`process.pid`	ID de proceso del proceso (también llamado ID del grupo de subprocesos)
`process.ppid`	ID del proceso principal
`process.user`	Nombre de usuario
`process.user_sid`	SId del usuario del proceso

Evento `change_permission`

Se ha modificado un permiso

Propiedad	Definición
`change_permission.new_sd`	Nuevo descriptor de seguridad del objeto cuyo permiso se ha modificado
`change_permission.old_sd`	Descriptor de seguridad original del objeto cuyo permiso se ha modificado
`change_permission.path`	Nombre del objeto cuyo permiso se ha modificado
`change_permission.type`	Tipo de objeto cuyo permiso se ha modificado
`change_permission.user_domain`	Nombre de dominio del autor del cambio de permiso
`change_permission.username`	Nombre de usuario del autor del cambio de permiso

Evento `create`

Se ha creado un archivo

Propiedad	Definición
`create.file.device_path`	Ruta del archivo
`create.file.device_path.length`	Longitud de la cadena correspondiente
`create.file.name`	Nombre base del archivo
`create.file.name.length`	Longitud de la cadena correspondiente
`create.file.path`	Ruta del archivo
`create.file.path.length`	Longitud de la cadena correspondiente

Evento `create_key`

Se ha creado una clave de registro

Propiedad	Definición
`create.registry.key_name`	Nombre del registro
`create.registry.key_name.length`	Longitud de la cadena correspondiente
`create.registry.key_path`	Ruta del registro
`create.registry.key_path.length`	Longitud de la cadena correspondiente
`create_key.registry.key_name`	Nombre del registro
`create_key.registry.key_name.length`	Longitud de la cadena correspondiente
`create_key.registry.key_path`	Ruta del registro
`create_key.registry.key_path.length`	Longitud de la cadena correspondiente

Evento `delete`

Se ha eliminado un archivo

Propiedad	Definición
`delete.file.device_path`	Ruta del archivo
`delete.file.device_path.length`	Longitud de la cadena correspondiente
`delete.file.name`	Nombre base del archivo
`delete.file.name.length`	Longitud de la cadena correspondiente
`delete.file.path`	Ruta del archivo
`delete.file.path.length`	Longitud de la cadena correspondiente

Evento `delete_key`

Se ha eliminado una clave de registro

Propiedad	Definición
`delete.registry.key_name`	Nombre del registro
`delete.registry.key_name.length`	Longitud de la cadena correspondiente
`delete.registry.key_path`	Ruta del registro
`delete.registry.key_path.length`	Longitud de la cadena correspondiente
`delete_key.registry.key_name`	Nombre del registro
`delete_key.registry.key_name.length`	Longitud de la cadena correspondiente
`delete_key.registry.key_path`	Ruta del registro
`delete_key.registry.key_path.length`	Longitud de la cadena correspondiente

Evento `exec`

Se ha ejecutado o bifurcado un proceso

Propiedad	Definición
`exec.cmdline`	Línea de comandos del proceso
`exec.container.id`	ID del contenedor
`exec.created_at`	Marca de tiempo de la creación del proceso
`exec.envp`	Variables de entorno del proceso
`exec.envs`	Nombres de variables de entorno del proceso
`exec.file.name`	Nombre base del archivo
`exec.file.name.length`	Longitud de la cadena correspondiente
`exec.file.path`	Ruta del archivo
`exec.file.path.length`	Longitud de la cadena correspondiente
`exec.pid`	ID de proceso del proceso (también llamado ID del grupo de subprocesos)
`exec.ppid`	ID del proceso principal
`exec.user`	Nombre de usuario
`exec.user_sid`	SId del usuario del proceso

Evento `exit`

Se ha cerrado un proceso

Propiedad	Definición
`exit.cause`	Causa de finalización del proceso (una de EXITED, SIGNALED, COREDUMPED)
`exit.cmdline`	Línea de comandos del proceso
`exit.code`	Código de salida del proceso o número de la señal que ha provocado la finalización del proceso
`exit.container.id`	ID del contenedor
`exit.created_at`	Marca de tiempo de la creación del proceso
`exit.envp`	Variables de entorno del proceso
`exit.envs`	Nombres de variables de entorno del proceso
`exit.file.name`	Nombre base del archivo
`exit.file.name.length`	Longitud de la cadena correspondiente
`exit.file.path`	Ruta del archivo
`exit.file.path.length`	Longitud de la cadena correspondiente
`exit.pid`	ID de proceso del proceso (también llamado ID del grupo de subprocesos)
`exit.ppid`	ID del proceso principal
`exit.user`	Nombre de usuario
`exit.user_sid`	SId del usuario del proceso

Evento `open_key`

Se ha abierto una clave de registro

Propiedad	Definición
`open.registry.key_name`	Nombre del registro
`open.registry.key_name.length`	Longitud de la cadena correspondiente
`open.registry.key_path`	Ruta del registro
`open.registry.key_path.length`	Longitud de la cadena correspondiente
`open_key.registry.key_name`	Nombre del registro
`open_key.registry.key_name.length`	Longitud de la cadena correspondiente
`open_key.registry.key_path`	Ruta del registro
`open_key.registry.key_path.length`	Longitud de la cadena correspondiente

Evento `rename`

Se ha renombrado un archivo

Propiedad	Definición
`rename.file.destination.device_path`	Ruta del archivo
`rename.file.destination.device_path.length`	Longitud de la cadena correspondiente
`rename.file.destination.name`	Nombre base del archivo
`rename.file.destination.name.length`	Longitud de la cadena correspondiente
`rename.file.destination.path`	Ruta del archivo
`rename.file.destination.path.length`	Longitud de la cadena correspondiente
`rename.file.device_path`	Ruta del archivo
`rename.file.device_path.length`	Longitud de la cadena correspondiente
`rename.file.name`	Nombre base del archivo
`rename.file.name.length`	Longitud de la cadena correspondiente
`rename.file.path`	Ruta del archivo
`rename.file.path.length`	Longitud de la cadena correspondiente

Evento `set_key_value`

Se ha definido un valor de clave de registro

Propiedad	Definición
`set.registry.key_name`	Nombre del registro
`set.registry.key_name.length`	Longitud de la cadena correspondiente
`set.registry.key_path`	Ruta del registro
`set.registry.key_path.length`	Longitud de la cadena correspondiente
`set.registry.value_name`	Nombre del valor del registro
`set.registry.value_name.length`	Longitud de la cadena correspondiente
`set.value_name`	Nombre del valor del registro
`set_key_value.registry.key_name`	Nombre del registro
`set_key_value.registry.key_name.length`	Longitud de la cadena correspondiente
`set_key_value.registry.key_path`	Ruta del registro
`set_key_value.registry.key_path.length`	Longitud de la cadena correspondiente
`set_key_value.registry.value_name`	Nombre del valor del registro
`set_key_value.registry.value_name.length`	Longitud de la cadena correspondiente
`set_key_value.value_name`	Nombre del valor del registro

Evento `write`

Se ha escrito un archivo

Propiedad	Definición
`write.file.device_path`	Ruta del archivo
`write.file.device_path.length`	Longitud de la cadena correspondiente
`write.file.name`	Nombre base del archivo
`write.file.name.length`	Longitud de la cadena correspondiente
`write.file.path`	Ruta del archivo
`write.file.path.length`	Longitud de la cadena correspondiente

Documentación sobre atributos

`*.cmdline`

Tipo: cadena

Definición: línea de comandos del proceso

*.cmdline tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

Ejemplo:

exec.cmdline == "-sV -p 22,53,110,143,4564 198.116.0-255.1-127"

Coincide con cualquier proceso que tenga estos argumentos exactos.

Ejemplo:

exec.cmdline =~ "* -F * http*"

Coincide con cualquier proceso que tenga el argumento “-F” en cualquier lugar antes de un argumento que empiece por “http”.

`*.container.id`

Tipo: cadena

Definición: ID de contenedor

*.container.id tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.created_at`

Tipo: int

Definición: marca de tiempo de la creación del proceso

*.created_at tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.device_path`

Tipo: cadena

Definición: ruta del archivo

*.device_path tiene 5 prefijos posibles: create.file delete.file rename.file rename.file.destination write.file

Ejemplo:

create.file.device_path == "\device\harddisk1\cmd.bat"

Coincide con la creación del archivo ubicado en c:\cmd.bat

`*.envp`

Tipo: cadena

Definición: variables de entorno del proceso

*.envp tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.envs`

Tipo: cadena

Definición: nombres de variable de entorno del proceso

*.envs tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.key_name`

Tipo: cadena

Definición: nombre del registro

*.key_name tiene 8 prefijos posibles: create.registry create_key.registry delete.registry delete_key.registry open.registry open_key.registry set.registry set_key_value.registry

`*.key_path`

Tipo: cadena

Definición: ruta del registro

*.key_path tiene 8 prefijos posibles: create.registry create_key.registry delete.registry delete_key.registry open.registry open_key.registry set.registry set_key_value.registry

`*.length`

Tipo: int

Definición: longitud de la cadena correspondiente

*.length tiene 43 prefijos posibles: create.file.device_path create.file.name create.file.path create.registry.key_name create.registry.key_path create_key.registry.key_name create_key.registry.key_path delete.file.device_path delete.file.name delete.file.path delete.registry.key_name delete.registry.key_path delete_key.registry.key_name delete_key.registry.key_path exec.file.name exec.file.path exit.file.name exit.file.path open.registry.key_name open.registry.key_path open_key.registry.key_name open_key.registry.key_path process.ancestors.file.name process.ancestors.file.path process.file.name process.file.path process.parent.file.name process.parent.file.path rename.file.destination.device_path rename.file.destination.name rename.file.destination.path rename.file.device_path rename.file.name rename.file.path set.registry.key_name set.registry.key_path set.registry.value_name set_key_value.registry.key_name set_key_value.registry.key_path set_key_value.registry.value_name write.file.device_path write.file.name write.file.path

`*.name`

Tipo: cadena

Definición: nombre base del archivo

*.name tiene 5 prefijos posibles: exec.file exit.file process.ancestors.file process.file process.parent.file

Ejemplo:

exec.file.name == "cmd.bat"

Coincide con la ejecución de cualquier archivo llamado cmd.bat.

`*.name`

Tipo: cadena

Definición: nombre base del archivo

*.name tiene 5 prefijos posibles: create.file delete.file rename.file rename.file.destination write.file

Ejemplo:

create.file.name == "cmd.bat"

Coincide con la creación de cualquier archivo llamado cmd.bat.

`*.path`

Tipo: cadena

Definición: ruta del archivo

*.path tiene 5 prefijos posibles: exec.file exit.file process.ancestors.file process.file process.parent.file

Ejemplo:

exec.file.path == "c:\cmd.bat"

Coincide con la ejecución del archivo ubicado en c:\cmd.bat

`*.path`

Tipo: cadena

Definición: ruta del archivo

*.path tiene 5 prefijos posibles: create.file delete.file rename.file rename.file.destination write.file

Ejemplo:

create.file.path == "c:\cmd.bat"

Coincide con la creación del archivo ubicado en c:\cmd.bat

`*.pid`

Tipo: int

Definición: ID de proceso del proceso (también llamado ID de grupo del subproceso)

*.pid tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.ppid`

Tipo: int

Definición: ID del proceso principal

*.ppid tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.registry.value_name`

Tipo: cadena

Definición: nombre del valor del registro

*.registry.value_name tiene 2 prefijos posibles: set set_key_value

`*.user`

Tipo: cadena

Definición: nombre de usuario

*.user tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.user_sid`

Tipo: cadena

Definición: SId del usuario del proceso

*.user_sid tiene 5 prefijos posibles: exec exit process process.ancestors process.parent

`*.value_name`

Tipo: cadena

Definición: nombre del valor del registro

*.value_name tiene 2 prefijos posibles: set set_key_value

`change_permission.new_sd`

Tipo: cadena

Definición: nuevo descriptor de seguridad del objeto cuyo permiso se ha modificado

`change_permission.old_sd`

Tipo: cadena

Definición: descriptor de seguridad original del objeto cuyo permiso se ha modificado

`change_permission.path`

Tipo: cadena

Definición: nombre del objeto cuyo permiso se ha modificado

`change_permission.type`

Tipo: cadena

Definición: tipo de objeto cuyo permiso se ha modificado

`change_permission.user_domain`

Tipo: cadena

Definición: nombre de dominio del autor del cambio de permiso

`change_permission.username`

Tipo: cadena

Definición: nombre de usuario del autor del cambio de permiso

`container.created_at`

Tipo: int

Definición: marca de tiempo de la creación del contenedor

`container.id`

Tipo: cadena

Definición: ID del contenedor

`container.runtime`

Tipo: cadena

Definición: tiempo de ejecución que gestiona el contenedor

`container.tags`

Tipo: cadena

Definición: etiquetas del contenedor

`event.hostname`

Tipo: cadena

Definición: nombre de host asociado al evento

`event.origin`

Tipo: cadena

Definición: origen del evento

`event.os`

Tipo: cadena

Definición: sistema operativo del evento

`event.service`

Tipo: cadena

Definición: servicio asociado al evento

`event.timestamp`

Tipo: int

Definición: marca de tiempo del evento

`exit.cause`

Tipo: int

Definición: causa de la finalización del proceso (EXITED, SIGNALED, COREDUMPED)

`exit.code`

Tipo: int

Definición: código de salida del proceso o número de la señal que provocó la finalización del proceso

Constantes

Las constantes se utilizan para mejorar la legibilidad de las reglas. Algunas constantes son comunes a todas las arquitecturas y otras son específicas de algunas arquitecturas.

`Boolean constants`

Las constantes booleanas son las constantes booleanas admitidas.

Nombre	Arquitecturas
`true`	todos
`false`	todos

`DNS qclasses`

Las qclasses DNS son las clases de consulta DNS admitidas.

Nombre	Arquitecturas
`CLASS_INET`	todos
`CLASS_CSNET`	todos
`CLASS_CHAOS`	todos
`CLASS_HESIOD`	todos
`CLASS_NONE`	todos
`CLASS_ANY`	todos

`DNS qtypes`

Los qtypes DNS son los tipos de consulta DNS admitidos.

Nombre	Arquitecturas
`None`	todos
`A`	todos
`NS`	todos
`MD`	todos
`MF`	todos
`CNAME`	todos
`SOA`	todos
`MB`	todos
`MG`	todos
`MR`	todos
`NULL`	todos
`PTR`	todos
`HINFO`	todos
`MINFO`	todos
`MX`	todos
`TXT`	todos
`RP`	todos
`AFSDB`	todos
`X25`	todos
`ISDN`	todos
`RT`	todos
`NSAPPTR`	todos
`SIG`	todos
`KEY`	todos
`PX`	todos
`GPOS`	todos
`AAAA`	todos
`LOC`	todos
`NXT`	todos
`EID`	todos
`NIMLOC`	todos
`SRV`	todos
`ATMA`	todos
`NAPTR`	todos
`KX`	todos
`CERT`	todos
`DNAME`	todos
`OPT`	todos
`APL`	todos
`DS`	todos
`SSHFP`	todos
`RRSIG`	todos
`NSEC`	todos
`DNSKEY`	todos
`DHCID`	todos
`NSEC3`	todos
`NSEC3PARAM`	todos
`TLSA`	todos
`SMIMEA`	todos
`HIP`	todos
`NINFO`	todos
`RKEY`	todos
`TALINK`	todos
`CDS`	todos
`CDNSKEY`	todos
`OPENPGPKEY`	todos
`CSYNC`	todos
`ZONEMD`	todos
`SVCB`	todos
`HTTPS`	todos
`SPF`	todos
`UINFO`	todos
`UID`	todos
`GID`	todos
`UNSPEC`	todos
`NID`	todos
`L32`	todos
`L64`	todos
`LP`	todos
`EUI48`	todos
`EUI64`	todos
`URI`	todos
`CAA`	todos
`AVC`	todos
`TKEY`	todos
`TSIG`	todos
`IXFR`	todos
`AXFR`	todos
`MAILB`	todos
`MAILA`	todos
`ANY`	todos
`TA`	todos
`DLV`	todos
`Reserved`	todos

`L3 protocols`

Los protocolos L3 son los protocolos de capa 3 admitidos.

Nombre	Arquitecturas
`ETH_P_LOOP`	todos
`ETH_P_PUP`	todos
`ETH_P_PUPAT`	todos
`ETH_P_TSN`	todos
`ETH_P_IP`	todos
`ETH_P_X25`	todos
`ETH_P_ARP`	todos
`ETH_P_BPQ`	todos
`ETH_P_IEEEPUP`	todos
`ETH_P_IEEEPUPAT`	todos
`ETH_P_BATMAN`	todos
`ETH_P_DEC`	todos
`ETH_P_DNADL`	todos
`ETH_P_DNARC`	todos
`ETH_P_DNART`	todos
`ETH_P_LAT`	todos
`ETH_P_DIAG`	todos
`ETH_P_CUST`	todos
`ETH_P_SCA`	todos
`ETH_P_TEB`	todos
`ETH_P_RARP`	todos
`ETH_P_ATALK`	todos
`ETH_P_AARP`	todos
`ETH_P_8021_Q`	todos
`ETH_P_ERSPAN`	todos
`ETH_P_IPX`	todos
`ETH_P_IPV6`	todos
`ETH_P_PAUSE`	todos
`ETH_P_SLOW`	todos
`ETH_P_WCCP`	todos
`ETH_P_MPLSUC`	todos
`ETH_P_MPLSMC`	todos
`ETH_P_ATMMPOA`	todos
`ETH_P_PPPDISC`	todos
`ETH_P_PPPSES`	todos
`ETH_P__LINK_CTL`	todos
`ETH_P_ATMFATE`	todos
`ETH_P_PAE`	todos
`ETH_P_AOE`	todos
`ETH_P_8021_AD`	todos
`ETH_P_802_EX1`	todos
`ETH_P_TIPC`	todos
`ETH_P_MACSEC`	todos
`ETH_P_8021_AH`	todos
`ETH_P_MVRP`	todos
`ETH_P_1588`	todos
`ETH_P_NCSI`	todos
`ETH_P_PRP`	todos
`ETH_P_FCOE`	todos
`ETH_P_IBOE`	todos
`ETH_P_TDLS`	todos
`ETH_P_FIP`	todos
`ETH_P_80221`	todos
`ETH_P_HSR`	todos
`ETH_P_NSH`	todos
`ETH_P_LOOPBACK`	todos
`ETH_P_QINQ1`	todos
`ETH_P_QINQ2`	todos
`ETH_P_QINQ3`	todos
`ETH_P_EDSA`	todos
`ETH_P_IFE`	todos
`ETH_P_AFIUCV`	todos
`ETH_P_8023_MIN`	todos
`ETH_P_IPV6_HOP_BY_HOP`	todos
`ETH_P_8023`	todos
`ETH_P_AX25`	todos
`ETH_P_ALL`	todos
`ETH_P_8022`	todos
`ETH_P_SNAP`	todos
`ETH_P_DDCMP`	todos
`ETH_P_WANPPP`	todos
`ETH_P_PPPMP`	todos
`ETH_P_LOCALTALK`	todos
`ETH_P_CAN`	todos
`ETH_P_CANFD`	todos
`ETH_P_PPPTALK`	todos
`ETH_P_TR8022`	todos
`ETH_P_MOBITEX`	todos
`ETH_P_CONTROL`	todos
`ETH_P_IRDA`	todos
`ETH_P_ECONET`	todos
`ETH_P_HDLC`	todos
`ETH_P_ARCNET`	todos
`ETH_P_DSA`	todos
`ETH_P_TRAILER`	todos
`ETH_P_PHONET`	todos
`ETH_P_IEEE802154`	todos
`ETH_P_CAIF`	todos
`ETH_P_XDSA`	todos
`ETH_P_MAP`	todos

`L4 protocols`

Los protocolos L4 son los protocolos de capa 4 admitidos.

Nombre	Arquitecturas
`IP_PROTO_IP`	todos
`IP_PROTO_ICMP`	todos
`IP_PROTO_IGMP`	todos
`IP_PROTO_IPIP`	todos
`IP_PROTO_TCP`	todos
`IP_PROTO_EGP`	todos
`IP_PROTO_IGP`	todos
`IP_PROTO_PUP`	todos
`IP_PROTO_UDP`	todos
`IP_PROTO_IDP`	todos
`IP_PROTO_TP`	todos
`IP_PROTO_DCCP`	todos
`IP_PROTO_IPV6`	todos
`IP_PROTO_RSVP`	todos
`IP_PROTO_GRE`	todos
`IP_PROTO_ESP`	todos
`IP_PROTO_AH`	todos
`IP_PROTO_ICMPV6`	todos
`IP_PROTO_MTP`	todos
`IP_PROTO_BEETPH`	todos
`IP_PROTO_ENCAP`	todos
`IP_PROTO_PIM`	todos
`IP_PROTO_COMP`	todos
`IP_PROTO_SCTP`	todos
`IP_PROTO_UDPLITE`	todos
`IP_PROTO_MPLS`	todos
`IP_PROTO_RAW`	todos

Más enlaces, artículos y documentación útiles:

Empezar con Datadog CSM ThreatsDOCUMENTACIÓN

Atributos y ayudantes de Windows Agent