Содержание
- События и выборки событий
- О событиях в Kaspersky Security Center Cloud Console
- События компонентов Kaspersky Security Center Cloud Console
- Использование выборок событий
- Создание выборки событий
- Изменение выборки событий
- Просмотр списка выборки событий
- Экспорт выборки событий
- Импорт выборки событий
- Просмотр информации о событии
- Экспорт событий в файл
- Просмотр истории объекта из события
- Хранение информации о событиях для задач и политик
- Удаление событий
- Удаление выборок событий
События и выборки событий
В этом разделе содержится информация о событиях и выборках событий, о типах событий, возникших в компонентах Kaspersky Security Center Cloud Console, и об управлении блокировкой частых событий.
О событиях в Kaspersky Security Center Cloud Console
Kaspersky Security Center Cloud Console позволяет получать информацию о событиях, произошедших в процессе работы Сервера администрирования и приложений "Лаборатории Касперского", установленных на управляемых устройствах. Информация о событиях сохраняется в базе данных Сервера администрирования. Вы можете экспортировать эту информацию во внешние SIEM-системы. Экспорт информации о событиях во внешние SIEM-системы позволяет администраторам SIEM-систем оперативно реагировать на события системы безопасности, произошедшие на управляемых устройствах или группах устройств.
События по типу
В Kaspersky Security Center Cloud Console существуют следующие типы событий:
- Общие события. Эти события возникают во всех управляемых приложениях "Лаборатории Касперского". Например, общее событие Вирусная атака. Общие события имеют строго определенные синтаксис и семантику. Общие события используются, например, в отчетах и панели мониторинга.
- Специфические события управляемых приложений "Лаборатории Касперского". Каждое управляемое приложение "Лаборатории Касперского" имеет собственный набор событий.
События по источнику
Просмотреть полный список событий, которые может генерировать приложение, можно на вкладке Настройка событий в свойствах политики приложения. Для Сервера администрирования можно дополнительно просмотреть список событий в свойствах Сервера администрирования.
События могут генерироваться следующими приложениями:
- Компонентами Kaspersky Security Center Cloud Console:
- Управляемые приложения "Лаборатории Касперского"
Подробнее о событиях, генерируемых управляемыми приложениями "Лаборатории Касперского", см. в документации соответствующего приложения.
События по уровню важности
Каждое событие имеет собственный уровень важности. В зависимости от условий возникновения, событию могут быть присвоены различные уровни важности. Существует четыре уровня важности событий:
- Критическое событие – событие, указывающее на возникновение критической проблемы, которая может привести к потере данных, сбою в работе или критической ошибке.
- Отказ функционирования – событие, указывающее на возникновение серьезной проблемы, ошибки или сбоя, произошедшего во время работы приложения или выполнения процедуры.
- Предупреждение – событие, не обязательно являющееся серьезным, однако указывающее на возможное возникновение проблемы в будущем. Чаще всего события относятся к Предупреждениям, если после их возникновения работа приложения может быть восстановлена без потери данных или функциональных возможностей.
- Информационное сообщение – событие, возникающее с целью информирования об успешном выполнении операции, корректной работе приложения или завершении процедуры.
Для каждого события задано время хранения, которое можно посмотреть или изменить в Kaspersky Security Center Cloud Console. Некоторые события не сохраняются в базе данных Сервера администрирования по умолчанию, поскольку для них установленное время хранения равно нулю. Во внешние системы можно экспортировать только те события, которые хранятся в базе данных Сервера администрирования не менее одного дня.
События компонентов Kaspersky Security Center Cloud Console
Каждый компонент Kaspersky Security Center Cloud Console имеет собственный набор типов событий. В этом разделе перечислены типы событий, которые происходят на Сервере администрирования Kaspersky Security Center Cloud Console и Агенте администрирования. Типы событий, которые возникают в приложениях "Лаборатории Касперского", в этом разделе не перечислены.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Для Сервера администрирования можно дополнительно просмотреть и настроить список событий в свойствах Сервера администрирования. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
Структура данных описания типа события
Для каждого типа событий отображаются его имя, идентификатор, буквенный код, описание и время хранения по умолчанию.
- Отображаемое имя типа события. Этот текст отображается в Kaspersky Security Center Cloud Console, когда вы настраиваете события и при их возникновении.
- Идентификатор типа события. Этот цифровой код используется при обработке событий с использованием инструментов анализа событий сторонних производителей.
- Тип события (буквенный код). Этот код используется при просмотре и обработке событий с использованием публичных представлений базы данных Kaspersky Security Center Cloud Console.
- Описание. Этот текст содержит описание ситуации при возникновении события и описание того, что вы можете сделать в этом случае.
- Срок хранения по умолчанию. Это количество дней, в течение которых событие хранится в базе данных Сервера администрирования и отображается в списке событий Сервера администрирования. После окончания этого периода событие удаляется. Если значение времени хранения события указано 0, такие события регистрируются, но не отображаются в списке событий Сервера администрирования.
События Сервера администрирования
В этом разделе содержится информация о событиях Сервера администрирования.
Критические события Сервера администрирования
В таблице ниже приведены события Сервера администрирования Kaspersky Security Center Cloud Console с уровнем важности Критическое.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Для Сервера администрирования можно дополнительно просмотреть и настроить список событий в свойствах Сервера администрирования. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
Критические события Сервера администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Описание |
Срок хранения по умолчанию |
|---|---|---|---|---|
Лицензионное ограничение превышено |
4099 |
KLSRV_EV_LICENSE_CHECK_MORE_110 |
Один раз в день Kaspersky Security Center Cloud Console проверяет, не превышены ли лицензионные ограничения. События этого типа возникают, если Сервер администрирования регистрирует превышение лицензионного ограничения приложений "Лаборатории Касперского", установленных на клиентских устройствах, и если количество используемых лицензионных единиц одной лицензии превышает 110% от общего количества лицензионных единиц, охватываемых лицензией. Даже если возникает это событие, клиентские устройства защищены. Вы можете ответить на событие следующими способами:
Kaspersky Security Center Cloud Console определяет правила генерации событий при превышении лицензионного ограничения. |
180 дней |
Вирусная атака |
26 (для компонента Защита от файловых угроз) |
GNRL_EV_VIRUS_OUTBREAK |
События этого типа возникают, если количество вредоносных объектов, обнаруженных на нескольких управляемых устройствах в течение короткого периода, превышает заданные пороговые значения. Вы можете ответить на событие следующими способами:
|
180 дней |
Вирусная атака |
27 (для компонента Защита от почтовых угроз) |
GNRL_EV_VIRUS_OUTBREAK |
События этого типа возникают, если количество вредоносных объектов, обнаруженных на нескольких управляемых устройствах в течение короткого периода, превышает заданные пороговые значения. Вы можете ответить на событие следующими способами:
|
180 дней |
Вирусная атака |
28 (для сетевого экрана) |
GNRL_EV_VIRUS_OUTBREAK |
События этого типа возникают, если количество вредоносных объектов, обнаруженных на нескольких управляемых устройствах в течение короткого периода, превышает заданные пороговые значения. Вы можете ответить на событие следующими способами:
|
180 дней |
Устройство стало неуправляемым |
4111 |
KLSRV_HOST_OUT_CONTROL |
События этого типа возникают, если управляемое устройство видимо в сети, но не подключено к Серверу администрирования в течение заданного периода. Определите, что мешает правильной работе Агента администрирования на устройстве. Возможные причины могут включать проблемы сети и удаление Агента администрирования с устройства. |
180 дней |
Статус устройства "Критический" |
4113 |
KLSRV_HOST_STATUS_CRITICAL |
События этого типа возникают, если управляемому устройству назначен статус Критический. Вы можете настроить условия при выполнении которых, статус устройства изменяется на Критический. |
180 дней |
Режим ограниченной функциональности |
4130 |
KLSRV_EV_LICENSE_SRV_LIMITED_MODE |
События этого типа возникают, если Kaspersky Security Center Cloud Console начинает работать в режиме базовой функциональности, без поддержки Управления мобильными устройствами и Системного администрирования. Ниже приведены причины и соответствующие ответы на событие:
|
180 дней |
Срок действия лицензии скоро истекает |
4129 |
KLSRV_EV_LICENSE_SRV_EXPIRE_SOON |
События этого типа возникают, если приближается дата окончания срока действия коммерческой лицензии. Один раз в день Kaspersky Security Center проверяет, не истек ли срок действия лицензии. События этого типа публикуются за 30 дней, 15 дней, 5 дней и 1 день, до истечения срока действия лицензии. Это количество дней невозможно изменить. Если Сервер администрирования выключен, в указанный день окончания срока действия лицензии, событие не будет опубликовано до следующего дня. После окончания срока действия коммерческой лицензии, Kaspersky Security Center Cloud Console работает в режиме Базовой функциональности. Вы можете ответить на событие следующими способами:
|
180 дней |
Срок действия сертификата истек |
4132 |
KLSRV_CERTIFICATE_EXPIRED |
События этого типа возникают, если истекает срок действия сертификата Сервера администрирования для Управления мобильными устройствами. Вам необходимо обновить сертификат, срок действия которого истекает. |
180 дней |
Обновления модулей приложений "Лаборатории Касперского" отозваны |
4142 |
KLSRV_SEAMLESS_UPDATE_REVOKED |
События этого типа возникают, если обновления были отозваны техническими специалистами "Лаборатории Касперского", например, по причине их замены на более новые версии. Для таких обновлений отображается статус Отозвано. Событие не относится к патчам Kaspersky Security Center Cloud Console и не относится к модулям управляемых приложений "Лаборатории Касперского". Событие содержит причину, из-за которой обновления не установлены. |
180 дней |
Аудит: Не удалось выполнить экспорт в SIEM-систему |
5130 |
KLAUD_EV_SIEM_EXPORT_ERROR |
События этого типа возникают при сбое экспорта событий в SIEM-систему из-за ошибки соединения с SIEM-системой. |
180 дней |
События отказа функционирования Сервера администрирования
В таблице ниже приведены события Сервера администрирования Kaspersky Security Center Cloud Console с уровнем важности Отказ функционирования.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Для Сервера администрирования можно дополнительно просмотреть и настроить список событий в свойствах Сервера администрирования. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
События отказа функционирования Сервера администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Описание |
Срок хранения по умолчанию |
|---|---|---|---|---|
Для одной из групп лицензионных приложений превышено ограничение числа установок |
4126 |
KLSRV_INVLICPROD_EXCEDED |
Сервер администрирования генерирует события такого типа периодически (каждый час). События этого типа возникают, если в Kaspersky Security Center Cloud Console вы управляете лицензионными ключами приложений сторонних производителей и если количество установок превысило заданное в лицензионном ключе приложения стороннего производителя ограничение. Вы можете ответить на событие следующими способами:
Вы можете управлять лицензионными ключами приложений сторонних производителей, используя функциональность групп лицензионных приложений. В группу лицензионных приложений входят приложения сторонних производителей, отвечающие заданным вами критериям. |
180 дней |
Не удалось выполнить опрос облачного сегмента |
4143 |
KLSRV_KLCLOUD_SCAN_ERROR |
События этого типа возникают, если Сервер администрирования не может опросить сегмент сети в облачном окружении. Прочтите информацию в описании события и отреагируйте соответствующим образом. |
Не хранится |
События предупреждения Сервера администрирования
В таблице ниже приведены события Сервера администрирования Kaspersky Security Center Cloud Console с уровнем важности Предупреждение.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Для Сервера администрирования можно дополнительно просмотреть и настроить список событий в свойствах Сервера администрирования. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
События предупреждения Сервера администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Описание |
Срок хранения по умолчанию |
|---|---|---|---|---|
Лицензионное ограничение превышено |
4098 |
KLSRV_EV_LICENSE_CHECK_100_110 |
Один раз в день Kaspersky Security Center Cloud Console проверяет, не превышены ли лицензионные ограничения. События этого типа возникают, если Сервер администрирования регистрирует превышение лицензионного ограничения приложений "Лаборатории Касперского", установленных на клиентских устройствах, и если количество используемых лицензионных единиц одной лицензии составляет от 100% до 110% от общего количества единиц, охватываемых лицензией. Даже если возникает это событие, клиентские устройства защищены. Вы можете ответить на событие следующими способами:
Kaspersky Security Center Cloud Console определяет правила генерации событий при превышении лицензионного ограничения. |
90 дней |
Устройство долго не проявляет активности в сети |
4103 |
KLSRV_EVENT_HOSTS_NOT_VISIBLE |
События этого типа возникают, если управляемое устройство неактивно в течение некоторого времени. Чаще всего это происходит, когда управляемое устройство выводится из эксплуатации. Вы можете ответить на событие следующими способами:
|
90 дней |
Конфликт имен устройств |
4102 |
KLSRV_EVENT_HOSTS_CONFLICT |
События этого типа возникают, если Сервер администрирования рассматривает два или более управляемых устройства как одно устройство. Хотя клонирование не поддерживается в Kaspersky Security Center Cloud Console, это событие может произойти, если вы выполняете клонирование с использованием стороннего инструмента. Чтобы избежать этого события, при копировании образа устройства с установленным Агентом администрирования необходимо соблюдать следующие рекомендации:
Утилита klmover входит в состав инсталляционного пакета Агента администрирования. Если вы захватываете образ устройства без установленного Агента администрирования, нужно развернуть образ на целевых устройствах, а затем установить Агент администрирования. Также требуется предоставить доступ к сетевой папке с автономными инсталляционными пакетами с устройства. |
90 дней |
Статус устройства "Предупреждение" |
4114 |
KLSRV_HOST_STATUS_WARNING |
События этого типа возникают, если управляемому устройству назначен статус Предупреждение. Вы можете настроить условия при выполнении которых, статус устройства изменяется на Предупреждение. |
90 дней |
Для одной из групп лицензионных приложений скоро будет достигнуто ограничение числа установок |
4127 |
KLSRV_INVLICPROD_FILLED |
События этого типа возникают, если количество установок приложений сторонних производителей, включенных в группу лицензионных приложений, достигает 90% от максимально допустимого значения, указанного в свойствах лицензионного ключа. Вы можете ответить на событие следующими способами:
Вы можете управлять лицензионными ключами приложений сторонних производителей, используя функциональность групп лицензионных приложений. |
90 дней |
Сертификат запрошен |
4133 |
KLSRV_CERTIFICATE_REQUESTED |
События этого типа возникают, если не удается автоматически перевыпустить сертификат для Управления мобильными устройствами. Ниже приведены возможные причины событий и соответствующие действия по реагированию на событие:
|
90 дней |
Сертификат удален |
4134 |
KLSRV_CERTIFICATE_REMOVED |
События этого типа возникают, если администратор удаляет сертификат любого типа (общий, почтовый, VPN) для Управления мобильными устройствами. После удаления сертификата мобильные устройства, подключенные по этому сертификату, не смогут подключиться к Серверу администрирования. Это событие может быть полезно при исследовании неисправностей, связанных с Управлением мобильными устройствами. |
90 дней |
Срок действия APNs-сертификата истек |
4135 |
KLSRV_APN_CERTIFICATE_EXPIRED |
События этого типа происходят, если истекает срок действия APNs-сертификата. Вам необходимо вручную обновить APNs-сертификат и установить его на Сервер iOS MDM. |
90 дней |
Срок действия APNs-сертификата истекает |
4136 |
KLSRV_APN_CERTIFICATE_EXPIRES_SOON |
События этого типа возникают, если до истечения срока действия APNs-сертификата остается менее 14 дней. При истечении срока действия APNs-сертификата, вам необходимо вручную обновить APNs-сертификат и установить его на Сервер iOS MDM. Рекомендуется запланировать обновление APNs-сертификата до истечения срока его действия. |
90 дней |
Не удалось отправить FCM-сообщение на мобильное устройство |
4138 |
KLSRV_GCM_DEVICE_ERROR |
События этого типа возникают, если Управление мобильными устройствами настроено на использование Google Firebase Cloud Messaging (FCM) для подключения к управляемым мобильным устройствам с операционной системой Android, а FCM-сервер не может обработать некоторые запросы, полученные от Сервера администрирования. Это означает, что некоторые управляемые мобильные устройства не будут получать push-уведомление. Прочтите HTTP код в описании события и ответьте соответствующим образом. Дополнительная информация о HTTP кодах, полученных от FCM-сервера, и связанных с ними ошибках есть в документации службы Google Firebase (см. главу "Downstream message error response codes"). |
90 дней |
HTTP-ошибка при отправке FCM-сообщения на FCM-сервер |
4139 |
KLSRV_GCM_HTTP_ERROR |
События этого типа возникают, если Управление мобильными устройствами настроено на использование Google Firebase Cloud Messaging (FCM) для подключения управляемых мобильных устройств с операционной системой Android, а FCM-сервер возвращает запрос Серверу администрирования с кодом HTTP, отличным от 200 (ОК). Ниже приведены возможные причины событий и соответствующие действия по реагированию на событие:
|
90 дней |
Не удалось отправить FCM-сообщение на FCM-сервер |
4140 |
KLSRV_GCM_GENERAL_ERROR |
События этого типа возникают из-за непредвиденных ошибок на стороне Сервера администрирования при работе с HTTP-протоколом Google Firebase Cloud Messaging. Прочтите информацию в описании события и отреагируйте соответствующим образом. Если вы не можете найти решение проблемы самостоятельно, рекомендуем вам обратиться в Службу технической поддержки "Лаборатории Касперского". |
90 дней |
Разорвано соединение с подчиненным Сервером администрирования |
4116 |
KLSRV_EV_SLAVE_SRV_DISCONNECTED |
События этого типа возникают при разрыве соединения с подчиненным Сервером администрирования. Прочтите журнал событий операционной системы на устройстве, на котором установлен подчиненный Сервер администрирования, и отреагируйте соответствующим образом. |
90 дней |
Разорвано соединение с главным Сервером администрирования |
4118 |
KLSRV_EV_MASTER_SRV_DISCONNECTED |
События этого типа возникают при разрыве соединения с главным Сервером администрирования. Прочтите журнал событий операционной системы на устройстве, на котором установлен главный Сервер администрирования, и отреагируйте соответствующим образом. |
90 дней |
Аудит: Не удалось выполнить проверку подключения к SIEM-серверу |
5120 |
KLAUD_EV_SIEM_TEST_FAILED |
События этого типа возникают при сбое автоматической проверки подключения к SIEM-серверу. |
90 дней |
Информационные события Сервера администрирования
В таблице ниже приведены события Сервера администрирования Kaspersky Security Center Cloud Console с уровнем важности Информационное сообщение.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Для Сервера администрирования можно дополнительно просмотреть и настроить список событий в свойствах Сервера администрирования. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
Информационные события Сервера администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Описание |
Срок хранения по умолчанию |
|---|---|---|---|---|
Лицензионный ключ использован более чем на 90% |
4097 |
KLSRV_EV_LICENSE_CHECK_90 |
События этого типа возникают, если Сервер администрирования регистрирует превышение лицензионного ограничения приложений "Лаборатории Касперского", установленных на клиентских устройствах, и если количество используемых лицензионных единиц одной лицензии превышает 90% от общего количества лицензионных единиц, охватываемых лицензией. Даже при превышении лицензионных ограничений клиентские устройства защищены. Вы можете ответить на событие следующими способами:
Kaspersky Security Center Cloud Console определяет правила генерации событий при превышении лицензионного ограничения. |
30 дней |
Обнаружено новое устройство |
4100 |
KLSRV_EVENT_HOSTS_NEW_DETECTED |
События этого типа возникают при обнаружении новых сетевых устройств. |
30 дней |
Устройство было автоматически перемещено с помощью правила |
4101 |
KLSRV_EVENT_HOSTS_NEW_REDIRECTED |
События этого типа возникают, если устройства были отнесены к группе в соответствии с правилами перемещения устройств. |
30 дней |
Устройство удалено из группы: долгое отсутствие активности в сети |
4104 |
KLSRV_INVISIBLE_HOSTS_REMOVED |
События этого типа возникают, когда устройства были автоматически удалены из группы из-за неактивности. |
30 дней |
Для одной из групп лицензионных приложений число разрешенных установок исчерпано более чем на 95% |
4128 |
KLSRV_INVLICPROD_EXPIRED_SOON |
События этого типа возникают, если количество установок приложений сторонних производителей, включенных в группу лицензионных приложений, достигает 90% от максимально допустимого значения, указанного в свойствах лицензионного ключа. Вы можете ответить на событие следующими способами:
Вы можете управлять лицензионными ключами приложений сторонних производителей, используя функциональность групп лицензионных приложений. |
30 дней |
Появились файлы для отправки на анализ в "Лабораторию Касперского" |
4131 |
KLSRV_APS_FILE_APPEARED |
|
30 дней |
Идентификатор экземпляра FCM мобильного устройства изменен |
4137 |
KLSRV_GCM_DEVICE_REGID_CHANGED |
События этого типа возникают при изменении токена Firebase Cloud Messaging на устройстве. Информацию о ротации токенов FCM см. в документации сервиса Firebase. |
30 дней |
Обновления успешно скопированы в заданную папку |
4122 |
KLSRV_UPD_REPL_OK |
События этого типа возникают, когда задача Загрузка обновлений в хранилище Сервера администрирования завершает копирование файлов в указанную папку. |
30 дней |
Установлено соединение с подчиненным Сервером администрирования |
4115 |
KLSRV_EV_SLAVE_SRV_CONNECTED |
Подробнее см. в статье Создание иерархии Серверов администрирования: добавление подчиненного Сервера администрирования. |
30 дней |
Установлено соединение с главным Сервером администрирования |
4117 |
KLSRV_EV_MASTER_SRV_CONNECTED |
|
30 дней |
Базы обновлены (В Kaspersky Security Center Cloud Console этот тип событий доступен только для подчиненного Сервера администрирования.) |
4144 |
KLSRV_UPD_BASES_UPDATED |
События этого типа возникают, когда задача Загрузка обновлений в хранилище Сервера администрирования завершает обновление базы данных. |
30 дней |
Прокси-сервер KSN был запущен. Проверка доступности KSN прошла успешно |
7718 |
KSNPROXY_STARTED_CON_CHK_OK |
|
30 дней |
Прокси-сервер KSN остановлен |
7720 |
KSNPROXY_STOPPED |
|
30 дней |
Аудит: Подключение к Серверу администрирования |
4147 |
KLAUD_EV_SERVERCONNECT |
|
30 дней |
Аудит: Изменение объекта |
4148 |
KLAUD_EV_OBJECTMODIFY |
Это событие отслеживает изменения в следующих объектах:
|
30 дней |
Аудит: Изменение статуса объекта |
4150 |
KLAUD_EV_TASK_STATE_CHANGED |
Например, это событие возникает, если задача завершилась ошибкой. |
30 дней |
Аудит: Изменение параметров группы |
4149 |
KLAUD_EV_ADMGROUP_CHANGED |
События этого типа возникают при изменении группы безопасности. |
30 дней |
Аудит: Импорт или экспорт ключей шифрования с Сервера администрирования |
5100 |
KLAUD_EV_DPEKEYSEXPORT |
|
30 дней |
Аудит: Проверка подключения к SIEM-серверу выполнена успешно |
5110 |
KLAUD_EV_SIEM_TEST_SUCCESS |
|
30 дней |
События Агента администрирования
В этом разделе содержится информация о событиях Агента администрирования.
События отказа функционирования Агента администрирования
В таблице ниже приведены события Агента администрирования Kaspersky Security Center с уровнем важности Отказ функционирования.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
События отказа функционирования Агента администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Описание |
Срок хранения по умолчанию |
|---|---|---|---|---|
Ошибка при установке обновления |
7702 |
KLNAG_EV_PATCH_INSTALL_ERROR |
События этого типа возникают, если автоматическая установка обновлений и патчей для компонентов Kaspersky Security Center Cloud Console прошла неуспешно. Событие не относится к обновлениям управляемых приложений "Лаборатории Касперского". Прочтите описание события. Причиной этого события может быть проблема операционной системы Windows на Сервере администрирования. Если в описании упоминается какая-либо проблема конфигурации Windows, устраните эту проблему. |
30 дней |
Не удалось установить обновление стороннего производителя |
7697 |
KLNAG_EV_3P_PATCH_INSTALL_ERROR |
События этого типа возникают, если используются возможности Системного администрирования и Управления мобильными устройствами, и если обновление программного обеспечения сторонних производителей прошло неуспешно. Проверьте, корректна ли ссылка на приложение стороннего производителя. Прочтите описание события. |
30 дней |
Не удалось установить обновления Центра обновления Windows |
7717 |
KLNAG_EV_WUA_INSTALL_ERROR |
События этого типа возникают, если обновления Центра обновления Windows были неуспешными. Настройте обновления Microsoft Windows в политике Агента администрирования. Прочтите описание события. Поищите описание ошибки в базе знаний Microsoft. Обратитесь в службу технической поддержки Microsoft, если вы не можете решить проблему самостоятельно. |
30 дней |
События предупреждения Агента администрирования
В таблице ниже приведены события Агента администрирования Kaspersky Security Center с уровнем важности Предупреждение.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
События предупреждения Агента администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Срок хранения по умолчанию |
|---|---|---|---|
Возвращено предупреждение во время установки обновления модулей приложений |
7701 |
KLNAG_EV_PATCH_INSTALL_WARNING |
30 дней |
Установка обновления стороннего ПО завершена с предупреждением |
7696 |
KLNAG_EV_3P_PATCH_INSTALL_WARNING |
30 дней |
Установка обновления стороннего программного обеспечения отложена |
7698 |
KLNAG_EV_3P_PATCH_INSTALL_SLIPPED |
30 дней |
Произошла проблема безопасности |
549 |
GNRL_EV_APP_INCIDENT_OCCURED |
30 дней |
Прокси-сервер KSN был запущен. Не удалось проверить доступность KSN |
7718 |
KSNPROXY_STARTED_CON_CHK_FAILED |
30 дней |
Информационные события Агента администрирования
В таблице ниже приведены события Агента администрирования Kaspersky Security Center с уровнем важности Информационное сообщение.
Для каждого события, которое может генерировать приложение, можно указать параметры уведомлений и параметры хранения на вкладке Настройка событий в свойствах политики приложения. Если вы хотите настроить параметры уведомлений сразу для всех событий, настройте общие параметры уведомлений в свойствах Сервера администрирования.
Информационные события Агента администрирования
Отображаемое имя типа события |
Идентификатор типа события |
Тип события |
Срок хранения по умолчанию |
|---|---|---|---|
Обновление модулей приложений успешно установлено |
7699 |
KLNAG_EV_PATCH_INSTALLED_SUCCESSFULLY |
30 дней |
Запущена установка обновления модулей приложений для программного обеспечения |
7700 |
KLNAG_EV_PATCH_INSTALL_STARTING |
30 дней |
Установлено приложение |
7703 |
KLNAG_EV_INV_APP_INSTALLED |
30 дней |
Приложение удалено |
7704 |
KLNAG_EV_INV_APP_UNINSTALLED |
30 дней |
Установлено наблюдаемое приложение |
7705 |
KLNAG_EV_INV_OBS_APP_INSTALLED |
30 дней |
Удалено наблюдаемое приложение |
7706 |
KLNAG_EV_INV_OBS_APP_UNINSTALLED |
30 дней |
Установлено стороннее приложение |
7707 |
KLNAG_EV_INV_CMPTR_APP_INSTALLED |
30 дней |
Новое устройство добавлено |
7708 |
KLNAG_EV_DEVICE_ARRIVAL |
30 дней |
Устройство удалено |
7709 |
KLNAG_EV_DEVICE_REMOVE |
30 дней |
Обнаружено устройство |
7710 |
KLNAG_EV_NAC_DEVICE_DISCOVERED |
30 дней |
Устройство авторизовано |
7711 |
KLNAG_EV_NAC_HOST_AUTHORIZED |
30 дней |
Совместный доступ к рабочему столу Windows: файл был прочитан |
7712 |
KLUSRLOG_EV_FILE_READ |
30 дней |
Совместный доступ к рабочему столу Windows: файл был изменен |
7713 |
KLUSRLOG_EV_FILE_MODIFIED |
30 дней |
Совместный доступ к рабочему столу Windows: приложение было запущено |
7714 |
KLUSRLOG_EV_PROCESS_LAUNCHED |
30 дней |
Совместный доступ к рабочему столу Windows: предоставлен |
7715 |
KLUSRLOG_EV_WDS_BEGIN |
30 дней |
Совместный доступ к рабочему столу Windows: завершен |
7716 |
KLUSRLOG_EV_WDS_END |
30 дней |
Обновление для приложений стороннего производителя установлено успешно |
7694 |
KLNAG_EV_3P_PATCH_INSTALLED_SUCCESSFULLY |
30 дней |
Запущена установка обновления стороннего ПО |
7695 |
KLNAG_EV_3P_PATCH_INSTALL_STARTING |
30 дней |
Прокси-сервер KSN был запущен. Проверка доступности KSN прошла успешно |
7719 |
KSNPROXY_STARTED_CON_CHK_OK |
30 дней |
Прокси-сервер KSN остановлен |
7720 |
KSNPROXY_STOPPED |
30 дней |
Использование выборок событий
Выборки событий предназначены для просмотра на экране именованных наборов событий, которые выбраны из базы данных Сервера администрирования. Эти типы событий сгруппированы по следующим категориям:
- Уровень важности: Критические события, Отказы функционирования, Предупреждения и Информационные события.
- Время: Последние события.
- Тип: Запросы пользователей и События аудита.
Вы можете создавать и просматривать определенные пользователем выборки событий на основе параметров, доступных для настройки в интерфейсе Kaspersky Security Center Cloud Console.
Выборки событий доступны в Kaspersky Security Center Cloud Console в разделе Мониторинг и отчеты\Выборки событий.
По умолчанию выборки событий включают информацию за последние семь дней.
Kaspersky Security Center Cloud Console имеет набор выборок (предопределенных) по умолчанию:
- События с разным уровнем важности:
- Критические события.
- Отказ функционирования.
- Предупреждения.
- Информационные сообщения.
- Запросы пользователей (события управляемых приложений).
- Последние события (за последнюю неделю).
- События аудита.
В Kaspersky Security Center Cloud Console события аудита, связанные со служебными операциями, отображаются в вашей рабочей области. Эти события обусловлены действиями специалистов "Лаборатории Касперского". Такие события, например, включают: изменение портов Сервера администрирования; резервное копирование данных Сервера администрирования; создание, изменение и удаление учетных записей пользователей.
Вы можете также создавать и настраивать дополнительные пользовательские выборки событий. В пользовательских выборках вы можете фильтровать события по свойствам устройств, в которых они возникли (по именам устройств, IP-диапазонам и группам администрирования), по типам событий и уровням важности, по названию приложения и компонента, а также по временному интервалу. Также можно включить результаты задачи в область поиска. Вы также можете использовать поле поиска, в котором можно ввести слово или несколько слов. Отображаются все события, содержащие любые введенные слова в любом месте их свойств (таких как имя события, описание, имя компонента).
Как для предопределенных выборок, так и для пользовательских выборок вы можете ограничить количество отображаемых событий или количество записей для поиска. Оба варианта влияют на время, за которое Kaspersky Security Center Cloud Console отображает события. Чем больше база данных, тем более трудоемким может быть процесс.
Вы можете выполнить следующее:
- Изменить параметры выборки событий.
- Сгенерировать выборки событий.
- Просмотреть сведения о выбранных выборках событий.
- Удалить выборки событий.
- Удалить события из базы данных Сервера администрирования.
Создание выборки событий
Чтобы создать выборку событий:
- В главном окне приложения перейдите в раздел Мониторинг и отчеты → Выборки событий.
- Нажмите на кнопку Добавить.
- В открывшемся окне Новая выборка событий укажите параметры новой выборки событий. Параметры можно указать в нескольких разделах этого окна.
- Нажмите на кнопку Сохранить, чтобы сохранить изменения.
Откроется окно подтверждения.
- Чтобы просмотреть результат выборки событий, установите флажок Перейти к результатам выборки.
- Нажмите на кнопку Сохранить, чтобы подтвердить создание выборки событий.
Если был установлен флажок Перейти к результатам выборки, результат выборки событий будет отображен на экране. В противном случае новая выборка событий появится в списке выборок событий.
Изменение выборки событий
Чтобы изменить выборку событий:
- В главном окне приложения перейдите в раздел Мониторинг и отчеты → Выборки событий.
- Установите флажок напротив выборки событий, которую требуется изменить.
- Нажмите на кнопку Свойства.
Откроется окно свойств выборки событий.
- Отредактируйте свойства выборки событий.
Для стандартной выборки событий можно редактировать свойства только на следующих вкладках: Общие (за исключением имени выборки), Время и Права доступа.
Для пользовательских выборок можно изменять все свойства.
- Нажмите на кнопку Сохранить, чтобы сохранить изменения.
Измененная выборка событий отображается в списке.
Просмотр списка выборки событий
Просмотр выборки событий:
- В главном окне приложения перейдите в раздел Мониторинг и отчеты → Выборки событий.
- Установите флажок напротив выборки событий, которую требуется запустить.
- Выполните одно из следующих действий:
- Чтобы настроить сортировку для результатов выборки событий:
- Нажмите на кнопку Изменить сортировку и запустить.
- В отобразившемся окне Изменить сортировку для выборки событий укажите параметры сортировки.
- Нажмите на имя выборки.
- В противном случае, если вы хотите просмотреть список событий так, как они хранятся на Сервере администрирования, нажмите на название выборки.
- Чтобы настроить сортировку для результатов выборки событий:
Отобразится результат выборки событий.
Экспорт выборки событий
Kaspersky Security Center Cloud Console позволяет сохранить выборку событий и ее параметры в файл KLO. Вы можете использовать файл KLO для импорта сохраненной выборки событий как в Kaspersky Security Center Windows, так и в Kaspersky Security Center Linux.
Обратите внимание, что можно удалять только определенные пользователем выборки событий. Набор выборок событий, заданных по умолчанию в Kaspersky Security Center Cloud Console (предопределенные выборки), не может быть сохранен в файл.
Чтобы экспортировать выборку событий:
- В главном окне приложения перейдите в раздел Мониторинг и отчеты → Выборки событий.
- Установите флажок напротив выборки событий, которую требуется экспортировать.
Невозможно экспортировать несколько выборок событий одновременно. Если вы выберете более одной выборки, кнопка Экспортировать будет неактивна.
- Нажмите на кнопку Экспортировать.
- В открывшемся окне Сохранить как укажите имя и путь к файлу выборки событий, а затем нажмите на кнопку Сохранить.
Окно Сохранить как отображается только в том случае, если вы используете Google Chrome, Microsoft Edge или Opera. Если вы используете другой браузер, файл выборки событий автоматически сохраняется в папку Загрузки.
Импорт выборки событий
Kaspersky Security Center Cloud Console позволяет импортировать выборку событий из файла KLO. Файл KLO содержит экспортированную выборку событий и ее параметры.
Чтобы импортировать выборку событий:
- В главном окне приложения перейдите в раздел Мониторинг и отчеты → Выборки событий.
- Нажмите на кнопку Импортировать, чтобы выбрать файл выборки событий, который вы хотите импортировать.
- В открывшемся окне укажите путь к файлу KLO и нажмите на кнопку Открыть. Обратите внимание, что вы можете выбрать только один файл выборки событий.
Начнется обработка выборки событий.
Появится уведомление с результатами импорта. Если выборка событий импортирована, вы можете перейти по ссылке Просмотреть сведения об импорте, чтобы просмотреть свойства выборки.
После успешного импорта выборка событий отображается в списке выборок. Также импортируются параметры выборки событий.
Если имя новой импортированной выборки событий идентично имени существующей выборки, имя импортированной выборки расширяется с помощью окончания вида (<порядковый номер>), например: (1), (2).
В началоПросмотр информации о событии
Чтобы просмотреть детальную информацию о событии:
- Запустите выборку событий.
- Нажмите на требуемое событие.
Откроется окно Свойства события.
- В открывшемся окне можно выполнить следующие действия:
- Просмотреть информацию выбранного события.
- Перейти к следующему или к предыдущему событию в списке – результате выборки событий.
- Перейти к устройству, на котором возникло событие.
- Перейти к группе администрирования, содержащей устройство, на котором возникло событие.
- Для события, связанного с задачей, перейдите в свойства задачи.
Экспорт событий в файл
Чтобы экспортировать события в файл:
- Запустите выборку событий.
- Установите флажок рядом с требуемым событием.
- Нажмите на кнопку Экспортировать в файл.
Выбранные события экспортированы в файл.
Просмотр истории объекта из события
Из события создания или события изменения объекта, которое поддерживает управление ревизиями, вы можете перейти к истории ревизий объекта.
Чтобы просмотреть историю объекта из события:
- Запустите выборку событий.
- Установите флажок рядом с требуемым событием.
- Нажмите на кнопку История ревизий.
Откроется история ревизий объекта.
Хранение информации о событиях для задач и политик
В этом разделе приведены рекомендации, как минимизировать количество событий для задач и политик, хранящихся в базе данных Kaspersky Security Center Cloud Console. По умолчанию на каждые 1000 устройств приходится 100 000 событий. При превышении этого ограничения новые события перезаписывают старые. В результате критические события могут исчезнуть. Так же могут возникнуть события предупреждения Сервера администрирования, которые называются Превышено ограничение числа событий, удалены события из базы данных. В этих случаях рекомендуется следовать инструкциям в этом разделе.
В результате повысится скорость выполнения сценариев, связанных с анализом событий. Также эти рекомендации помогут снизить риск того, что критические события будут перезаписаны большим количеством событий.
По умолчанию в свойствах каждой задачи и каждой политики указано сохранение в журнале всех событий, связанных с выполнением задачи и применением политики. Однако если задача запускается часто (например, более одного раза в неделю), количество событий может оказаться слишком большим и события могут заполнить базу данных. В таком случае рекомендуется указать в свойствах задачи один из двух других вариантов:
- Сохранять события, связанные с ходом выполнения задачи. В этом случае Kaspersky Security Center Cloud Console сохраняет с каждого устройства, на котором выполнена задача, в базу данных только информацию о запуске задачи, о ее ходе и о ее выполнении (успешном, с предупреждением либо с ошибкой).
- Сохранять только результат выполнения задачи. В этом случае Kaspersky Security Center Cloud Console сохраняет с каждого устройства, на котором выполнена задача, в базу данных только информацию о выполнении задачи (успешном, с предупреждением либо с ошибкой).
Если политика определена для достаточно большого количества устройств (например, более 10 000), количество событий также может оказаться слишком большим, и события могут заполнить базу данных. В этом случае рекомендуется выбрать в свойствах политики только наиболее важные события и включить их сохранение. Сохранение всех других событий рекомендуется отключить.
Вы также можете уменьшить срок хранения событий, связанных с задачей или политикой. По умолчанию этот срок составляет семь дней для событий, связанных с задачей, и 30 дней для событий, связанных с политикой. При изменении срока хранения событий принимайте в расчет порядок работы, принятый в вашей организации, и количество времени, которое системный администратор может уделять анализу каждого события.
Изменить параметры хранения событий целесообразно, если события об изменении промежуточных статусов групповых задач и события о применении политик занимают большую долю всех событий в базе данных Kaspersky Security Center Cloud Console.
В началоУдаление событий
Чтобы удалить одно или несколько событий:
- Запустите выборку событий.
- Установите флажки рядом с требуемыми событиями.
- Нажмите на кнопку Удалить.
Выбранные события удалены и не могут быть восстановлены.
Удаление выборок событий
Можно удалять только пользовательские выборки событий. Предопределенные выборки событий невозможно удалить.
Чтобы удалить выборки событий:
- В главном окне приложения перейдите в раздел Мониторинг и отчеты → Выборки событий.
- Установите флажки напротив выборок событий, которые требуется удалить.
- Нажмите на кнопку Удалить.
- В появившемся окне нажмите на кнопку ОК.
Выборка событий будет удалена.