程序的基本功能

• 程序管理员和用户的账户名称。
• 程序用户账户的访问权限。
• 本地管理员密码的哈希。
• 程序用来连接到代理服务器的用户账户名称。
• 用来连接 LDAP 服务器的 Keytab 文件。
• LDAP 和其它 LDAP 属性中的用户账户名。
• 注释。

程序配置

/var/opt/kaspersky

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看程序设置的程序网页界面用户。

• LDAP 和其它 LDAP 属性中的用户账户名。
• 邮件发件人和收件人的电子邮件地址。
• 用户和邮件服务器的 IP 地址。
• 注释。

邮件处理规则

/var/opt/kaspersky

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看邮件处理规则的程序网页界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。

用户的 LDAP 属性信息：

• LDAP 和其它 LDAP 属性中的用户账户名。

运行时统计数据

/var/opt/kaspersky

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看报告和监控区域的程序网页界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 电子邮件附件名称。
• 邮件主题。

用户的 LDAP 属性信息：

• LDAP 和其它 LDAP 属性中的用户账户名。

邮件处理事件日志

/var/opt/kaspersky

根据程序用户指定的设置。

默认情况下，储存期限为3天，日志最大大小为1 GB。

达到该限制时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看邮件处理事件日志的程序网页界面用户。

/var/log/ksmg-messages

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权接收诊断信息的程序网页界面用户。

/var/log/ksmg-important

不定。

大小达到500 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权接收诊断信息的程序网页界面用户。

• 初始化事件的用户账户名称。
• 用于下载更新的 IP 地址。
• 更新源的 IP 地址。

系统事件日志

/var/opt/kaspersky

根据程序用户指定的设置。

默认存储100,000条。

达到该限制时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看系统事件日志的程序网页界面用户。

/var/log/ksmg-messages

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权接收诊断信息的程序网页界面用户。

/var/log/ksmg-important

不定。

大小达到500 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权接收诊断信息的程序网页界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。

程序更新数据：

• 用于下载更新的 IP 地址。
• 更新源的 IP 地址。
• 有关已下载文件和下载速度的信息。

用户账户信息：

• 管理员账户和程序网页界面用户账户名称。
• LDAP 和其它 LDAP 属性中的用户账户名。

跟踪文件

/var/log/kaspersky

不定。

当每个跟踪流的大小达到150 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权接收诊断信息的程序网页界面用户。

/var/log/kaspersky/extra

不定。

当每个跟踪流的大小达到400 MB 时，较早的记录会被删除。

/var/log/ksmg-traces

不定。

当每个跟踪流的大小达到23 GB 时，较早的记录会被删除。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。

备份

/var/opt/kaspersky

不定。

大小达到7 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 当邮件被从备份区中提取时，postfix 和 opendkim 服务可以访问它们。
• 有权查看备份的程序网页界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。

反垃圾邮件隔离

/var/opt/kaspersky

不定。

大小达到1 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看反病毒隔离区的程序网页界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。
• 邮件中包含的 URL。

KATA 隔离。

/var/opt/kaspersky

不定。

大小达到1 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看 KATA 隔离区的程序 Web 界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。

临时文件

• /tmp/ksmgtmp
• /tmp/klms_filter

直到程序重启。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当已处理的邮件被传递时，postfix 和 opendkim 服务可以访问它们。

与 Active Directory 集成

• 用户的电子邮件地址。
• 用户 DN 记录。
• 用户的 CN。
• sAMAccountName。
• UPN 后缀。
• objectSID。

• 邮件处理规则。
• 使用单点登录技术进行身份验证。
• 管理用户角色和权限或配置邮件处理规则时自动填充用户账户。

/var/opt/kaspersky/ksmg/ldap/cache.dbm

不定。

数据定期进行更新。

如果禁用和 Active Directory 进行集成，数据会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权自动填充用户账户的程序网页界面用户。

与 Kaspersky Anti Targeted Attack Platform (KATA) 集成

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。
• 邮件中包含的 URL。

转发要在 KATA 服务器上扫描的对象

未保存数据。

未保存数据。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。

内置邮件服务器功能

• 用于建立 TLS 连接的证书。
• 证书私钥文件。

  只有使用程序网页界面上传 SSH 公钥后才可以通过 SSH 访问文件。

• 用于 DKIM 签名的私钥。
• 用户的电子邮件地址。
• 邮件服务器的 IP 地址和域名。

内置代理服务器设置

/etc/postfix/

/var/opt/kaspersky/

不定。

当对应设置被在程序网页界面中删除时，数据也会被删除。

证书被替换时，证书文件可被覆盖。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 数据被处理时，postfix 和 opendkim 服务可以访问信息的储存位置和数据。
• 有权查看可以访问私钥之外的数据的内置邮件服务器的设置的程序网页界面用户。

电子邮件信息：

• 用户和邮件服务器的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件服务器的域名。
• TLS 加密信息。

内置邮件服务器的事件日志

/var/log/maillog

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在接收诊断信息时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• postfix 和 opendkim 服务可以在记录事件时访问数据。
• 有权接收诊断信息的程序网页界面用户。

电子邮件信息：

• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。

内置邮件服务器的邮件队列

/var/spool/postfix

不定。

邮件送达收件人后会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在管理内置邮件服务器的邮件队列时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• postfix 服务可以在数据被处理时访问数据。
• 有权查看邮件队列的程序网页界面用户。

通过 SSH 连接：

• 用户的 IP 地址。
• 用户账户名称。
• SSH 密钥指纹。

通过网页界面连接：

• 用户的 IP 地址。
• 用户账户名称。

授权事件日志。

/var/log/secure

不超过5个星期。

维持周度文件轮转。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权接收诊断信息的程序网页界面用户。

程序管理员的 SSH 公钥。

内置 SSH 服务器设置

/etc/ssh/authorized_keys

不定。

当对应设置被在程序网页界面中删除时，数据也会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在管理内置 SSH 服务器的设置时访问数据。
• 当数据在节点之间传输或者被传输到网页界面时，nginx 服务可以访问数据。
• 有权查看内置 SSH 服务器设置的程序网页界面用户。

• 正在被扫描的对象的校验和 (MD5, SHA2-256)
• 正在被查询信誉的 URL 地址
• 连接协议 ID 和端口号
• 反病毒数据库 ID 和用来扫描对象的反病毒数据库的条目 ID
• 签名文件证书信息（证书指纹和证书公钥的 SHA256 校验和）
• 已安装的软件的 ID 和完整版本
• 软件访问的 KSN 服务的 ID
• 提交对象进行扫描的日期和时间
• 软件组件的 ID
• 提交对象进行扫描的方案的 ID

发送 KSN 请求

KSN 服务器

不定。

存储条目的最大数量是 360,000。当达到限制时，最长时间没有被访问的条目将被删除。

• 安装在计算机上的操作系统的信息（类型，版本，位数）。
• 已安装的程序和计算机的信息（安装了程序的计算机的唯一 ID；计算机上程序安装的唯一 ID；已安装程序的名称、本地化、ID 和完整版本；软件的安装日期和时间）。
• 扫描对象的信息（应用程序数据库 ID 和应用程序数据库条目 ID；根据卡巴斯基分类系统，检测到的威胁的名称；校验和 (MD5, SHA256)；扫描对象的大小、名称和类型；扫描对象完整路径；对象扫描日期和时间；用户的 IP 地址；文件和 URL 扫描结果；扫描对象的元数据；扫描的 URL；引用者标头；被扫描的 URL 的校验和；扫描对象的打包程序和容器的校验和与大小；上次数据库更新的安装日期和时间；指示检测是否来自调试的标志）。
• 已扫描电子邮件的信息（邮件 ID；邮件收到时间；攻击目标（组织名称，网站）；攻击权重级别；信任级别的值；来自 SMTP 会话的发件人的 IP 地址；邮件标头信息；中间邮件传输代理的 IP 地址；来自 SMTP 会话的数据；使用的检测方法；邮件的 DKIM 签名片段；邮件发件人身份验证结果信息；DNS 服务器连接信息；垃圾邮件检测邮件信息；邮件大小（字节）；附件大小（字节）；附件的校验和和类型；主题大小（字节）；邮件编码名称；邮件是否已在反垃圾邮件隔离区中的信息；邮件的 HTML 标记信息；MIME 部分的校验和和大小）。
• 更新程序组件的操作信息（更新程序版本；更新程序组件更新任务的完成状态；发生错误时更新程序组件更新错误的类型和 ID；更新程序组件更新任务的退出代码；更新程序组件在该组件操作期间执行更新任务时的崩溃次数）。
• 软件组件操作期间发生的错误信息（遇到错误的软件组件信息；错误类型 ID；组件操作报告片段）。
• 统计数据包的版本信息，统计数据收集开始的日期和时间，统计数据收集结束的日期和时间。
• 软件使用授权许可的信息（授权许可 ID、提供授权许可的合作伙伴的 ID、授权许可序列号、添加授权许可密钥的日期和时间、指示 KSN 声明已被接受的指示器）。

发送 KSN 统计数据

KSN 服务器

在发送统计数据到 KSN 之前。

在程序设置中禁用发送 KSN 统计数据后，下次尝试发送数据时数据将被删除。