Оповещение по расширениям (bat) файла с конкретным именем на Windows Server 2019

[Pochinok]

Здравствуйте, нужна помощь, есть сервер Zabbix 7.2.4, есть Windows Server 2019 на котором установлен zabbix_agent-7.2.3. мне нужно чтоб на Windows Server если появится bat Файл с конкретным названием, допустим error, error.bat . То есть этого файла нет на сервере, и он появился с данным названием и данным расширением, чтобы Zabbix server меня оповестил, кто сталкивался с такой задачей? и как правильно написать Items и triggers для вот такой нестандартной задачи. если ничего не понятно, могу пояснить по другому, на одной сервере произошло несанкционированный вход в систему ( взломали сервер ) под какой учеткой думаю не важно, и не очень хороший человек или группа людей, кто это сделал, запустили именно bat Файл ,он каким-то образом подобрал логин и пароль от баз 1с и зашифровал их, сразу говорю,я там не администратор, антивируса почему нет и тд и тп, почему пароли легкие не скажу, попросили помочь, вообще можно такой момент реализовать? с exe файлом, я сделал, он работает и уведомляет меня если условно появился файл error.exe мне Zabbix Шлет уведомление где запущен и что. а как сделать тоже самое только с расширением .bat
Документацию читал, по ней и сделал для exe файла,и он работает. для bat файла не могу понять как сделать. пытался реализовать через .* (все расширения) c error что bat msi exe оповещал, но не получается то же
У меня получилось реализовать момент, когда любой bat файл с любым названием запускается, оповещал, но на данном сервере, делаются рез.копии через bat файлы, соответственно по расписанию начинаются копии и срабатывает триггер(Грубо говоря он ложный) то есть не совсем правильное решение

[Diesel315]

Да задача вроде ясна и если так хочется, то смотреть в сторону vfs.file.exists или что-нибудь рядом, но...
Вам не кажется, что у вас подход изначально мягко говоря корявый? А если файл будет gdflkfds.bat, если sadfsd.ps, а если dsfsadf.js и тд и тп?
И второй момент. Сработка триггера и уведомление это некий лаг (промежуток времени). Это по факту уже констатация что у вас что-то произошло. Дальше то что? Файл уже на сервере, он уже запущен и шифрует...

Не туда вы смотрите в решение вашей проблемы, вообще не туда.

[Pochinok]

Diesel315 315 я согласен с вами.что решение так себе, видимо сис админ хочет хоть быть в курсе, что что-то произошло,а не с утра придти и удивиться почему базы стали вдруг другого типа. либо он хочет сразу отреагировать и как-то предотвратить больший урон, я не знаю его мотивов. но вот попросили помочь, я знаю только как называется его сервер и какой исполняющий файл(название bat файла которое запустило все) а я такие вещи не реализовывал, сами понимаете хозяин барин) я так понимаю что этот момент можно реализовать как просит человек? и опять же, как будет выглядеть обнаружение со всеми типами файлами? через .* я просто не могу понять момент написания ключа для обнаружения действий

[Diesel315]

@Pochinok понимаете, в вашей задаче уже заложена бессмысленность.
Я выше не просто так дал примеры разных исполняемых файлов с набором символов. Файл который зашифрует весь сервак может иметь абсолютно любое название. по факту это *
Это первое...
Второе. Файл злоумышленник может положить куда угодно!

Ваша задача это все равно что дуршлагом воду черпать. Эффективность ровно такая же.

Сис.админ мягко говоря не очень умный. Потому что еще раз, вникните, пожалуйста, внимательно - триггер это констатация события, что уже произошло. То есть, если вы даже каким-то чудом смогли настроить триггер, который ловит наличие неведомого файла и при этом он сработал, то это значит одно - файл уже лежит и скорее всего он уже что-то делает: шифрует. И да он придет с утра и удивится! Потому что действие все происходило в 3 часа ночи, когда он крепко спал.

Хотите заниматься бесполезной работой, выше дал возможную наводку по элементу данных. Дальше пробуйте, экспериментируйте.

[Pochinok]

Diesel315 я вас услышал, опять же согласен с вами, по триггеру тоже согласен что он оповестит после того как уже процесс начнется, я с вами во всем согласен, по поводу не очень умный, может быть так, то что вы скинули, я посмотрю, вдруг что получится, спасибо в любой случае за подсказку. опять же тут больше задача идет о доп.мониторингу, если вдруг такой исполняющий файл появится на обменнике , чтоб среагировать быстро . повторю это не способ решения, найти плохой файл, а просто чтоб мониторил

[Semiadmin]

Если примерно понятно, начиная с какой папки искать, и количество файлов там не запредельное (ну, не c:\windows с поддиректориями), то можно попробовать агентский ключ vfs.dir.get, например vfs.dir.get[dir,"\.bat$",,file]. Он вернет JSON с такими файлами, а дальше через JSONPath можно посчитать их количество и сделать триггер.на то, что оно больше 0

[Pochinok]

Semiadmin мне знакомый сказал ему интересно только диск c, чтоб с любого пути мониторить. с ехе расширением у меня получилось, все работает, а вот с bat не получается.
опять же искать только с диска , по кол-во файлов, там сами понимаете все дефолт, ничего +- не ставится и изменений не происходит

[Semiadmin]

Весь диск c - это не агентом, а какими-то внешним скриптом, в таймаут агента не уложиться никак

[Pochinok]

Semiadmin у вас опыт уже был написаний подобных скриптов или аналогов? проще говоря,с чего начать ?

[Semiadmin]

Про штатные возможности заббикса могу рассказать, а тут - полная свобода творчества. Заканчиваться это должно, видимо, отправкой результата утилитой zabbix_sender.

[Pochinok]

Semiadmin хорошо, если меня интересует только папки C:\Users C:\Program Files C:\Program Files (x86) C:\Windows как вы писали выше, что можно через агента эти моменты сканировать, подскажите как сделать это

[Kos]

[USER="210107"]с ехе расширением у меня получилось, все работает, а вот с bat не получается.

Просто любопытно: а как у вас реализован мониторинг файлов с расширением .exe, а также чем принципиально отличаются файлы с расширением .bat, что для них то же самое решение не работает?

[Pochinok]

Kos если делать для bat. то он вроде говорит что не правильно использован ключ
соответственно на сервере у человека есть ехе файл, условно bad.exe как только он его запустил, 3-4 сек и сработал триггер что появился bad.exe. закрыл его, 3-4 сек триггер закрылся. Уведомление пришло что закрылся. а надо чтоб он по слову bad искал на диске с исполняющий файл

[Semiadmin]

Semiadmin хорошо, если меня интересует только папки C:\Users C:\Program Files C:\Program Files (x86) C:\Windows как вы писали выше, что можно через агента эти моменты сканировать, подскажите как сделать это

Так я же подсказал, и кроме того, сразу добавил, что c:\windows точно не потянет по времени, остальное перечисленное скорее всего тоже

[Pochinok]

Semiadmin принял,я почему-то подумал что это так,мысли в слух были, а не рабочий вариант, тогда опробую его в работе, c:\windows я учту что будут траблы,спасибо