檢視事件和報告

當應用程式執行時，可能會發生各種事件。這些事件可能是資訊性的，也可能包含重要資料。例如，應用程式可以使用事件來通知應用程式資料庫更新成功，或通知必須消除的應用程式元件操作錯誤。

Kaspersky Endpoint Security 將關於應用程式事件的資訊儲存到以下記錄中：

• 應用程式事件記錄。預設情況下，應用程式將關於事件的資訊儲存到資料庫 var/opt/kaspersky/kesl/private/storage/events.db。您可以在指令列中設定應用程式事件記錄。
• 作業系統記錄 (syslog)。預設不使用作業系統記錄。您可以啟用將事件儲存到此記錄。

存取應用程式事件記錄和作業系統記錄需要 root 權限。

如果 Kaspersky EndpoinSecurity 由卡巴斯基安全管理中心管理，則關於事件的資訊可能會被傳送至卡巴斯基安全管理中心伺服器。聚合規則適用於某些事件。如果在應用程式執行時短時間內建立了大量相同類型的事件，應用程式將切換到事件聚合模式，並向卡巴斯基安全管理中心傳送聚合事件以及事件設定描述。對於不同的事件可能會採用不同的聚合規則。關於事件的更多資訊，請參閱卡巴斯基安全管理中心說明。

您可以透過以下方式接收關於應用程式事件的資訊：

• 在管理主控台和網頁主控台中
• 在指令列中
• 使用應用程式的圖形使用者介面時 — 如果在政策屬性或應用程式的一般設定中啟用了顯示通知則會在彈出通知中顯示

某些事件可能包含檔案路徑。對於輸出，檔案路徑被視為 UTF-8 字串。如果路徑中的任何位元組不符合UTF-8編碼規則，則用?字元替換。任何對 Unicode 範圍之外的字元代碼（大於 0x10FFFF）進行編碼的四位元組序列也將被替換為?字元。特殊字元以某種方式逸出（替換）。

以下規則適用於kesl-control -E --query輸出中事件內的檔案路徑中的逸出字元：

• '\a', '\b', '\t', '\n', '\v', '\f', '\r' 字符被替換為兩個字元，如下所示：

  ‘\a’ -> “\\a”

  ‘\b’ -> “\\b”

  ‘\t’ -> “\\t”

  ‘\n’ -> “\\n”

  ‘\v’ -> “\\v”

  ‘\f’ -> “\\f”

  ‘\r’ -> “\\r”

• 所有其他特殊字元均不加修改地輸出。

以下規則適用於kesl-control -E --query --json輸出中事件內檔案路徑中的逸出字元：

• 根據 JSON 格式，'\b'，'\f'，'\n'，'\r'，'\t'，'"'，'\\'字元的逸出如下：

  ‘\b’ -> “\\b”

  ‘\f’ -> “\\f”

  ‘\n’ -> “\\n”

  ‘\r’ -> “\\r”

  ‘\t’ -> “\\t”

  '"' -> "\\\""

  '\\' -> "\\\\"

• 所有其他特殊字元均按照 JSON 中逸出特殊字元的一般規則進行逸出（'\a' -> '\u0007 ')。

傳送到 syslog 時事件中檔案路徑中的字元逸出規則：

• 根據 JSON 格式，'\b'，'\f'，'\n'，'\r'，'\t'，'"'，'\\'字元的逸出如下：

  ‘\b’ -> “\\b”

  ‘\f’ -> “\\f”

  ‘\n’ -> “\\n”

  ‘\r’ -> “\\r”

  ‘\t’ -> “\\t”

  '"' -> "\\\""

  '\\' -> "\\\\"

• 所有其他特殊字元均按照 JSON 中逸出特殊字元的一般規則進行逸出（'\a' -> '\u0007 ')。

描述規則時序列中的第一個反斜線是逸出字元。

範例： '\a'是一個字元（一個控製字元）。 '\\a'是兩個字元（反斜線 + a字元）。 '\\'是一個字元（反斜線），'\\\\'是兩個字元（反斜線 + 反斜線）。

應用程式可以產生有關應用程式執行時發生的事件的各種類型的報告。報告包含關於每個 Kaspersky Endpoint Security 元件的運行、每個工作的結果以及應用程式的整體運行的資訊。

您可以透過以下方式檢視報告：

• 卡巴斯基安全管理中心報告可在管理主控台和網頁主控台中取得。您可以使用它們來獲取關於受感染檔案或金鑰和應用程式資料庫的使用情況等資訊。有關使用卡巴斯基安全管理中心報告的詳細資訊，請參閱卡巴斯基安全管理中心說明。
• 應用程式報告可在 Kaspersky Endpoint Security 圖形使用者介面中查看。

事件和報告可能包含以下個人資料：

• 作業系統使用者的使用者名稱和使用者 ID
• 使用者檔案路徑
• 加密軟體防護元件掃描的遠端裝置的 IP 位址
• 防火牆管理元件掃描的網路封包傳送者和接收者的 IP 位址
• 更新來源的網址
• 一般應用程式設定值
• 指令列工作名稱和設定
• 偵測到惡意、網路釣魚、廣告軟體網址以及包含入侵者可以用來入侵裝置或資料的合法應用程式的網址
• 容器和映像的名稱
• 容器和映像的路徑
• 裝置的名稱和 ID
• 儲存庫的網址
• 可執行應用程式檔案的檔案名稱、檔案路徑和檔案雜湊值
• 應用程式類別名稱

本說明章節內容 配置將事件記錄到作業系統日誌中 配置應用程式事件記錄設定 在卡巴斯基安全管理中心中檢視事件 在指令列中檢視事件 配置圖形使用者介面中通知的顯示

頁頂