应用程序的基本功能

• 应用程序管理员和用户的账户名称。
• 应用程序用户账户的访问权限。
• 应用程序用来连接到代理服务器的用户账户名称。
• 用于连接到 LDAP 服务器的 Keytab 文件和设置。
• 用于通过 SSO Kerberos 连接的 Keytab 文件以及用于连接到 NTLM 服务器的设置。
• 注释。
• 激活码或激活密钥（用于激活正在添加的集群节点；代码或密钥被发送到激活服务器）。
• 集群节点的 Web 服务器的公共证书。

应用程序配置

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看应用程序设置和查看用户账户的应用程序 Web 界面的用户。

用于建立 TLS 连接的私人证书

应用程序配置

/var/opt/kaspersky/ksmg/certs/

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。

• 本地特权用户账户密码的哈希值。
• MTA 过滤器设置。
• Kaspersky Security Center 和 KATA 集成设置。

应用程序配置

/var/opt/kaspersky/ksmg/certs/

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• Nginx 用户可以访问正在节点之间传输的数据。

• LDAP 和其他 LDAP 属性中用户账户和联系人的名称。
• 邮件发件人和收件人的电子邮件地址。
• 邮件发件人的 IP 地址。
• 注释。

邮件处理规则和自定义列表。

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看邮件处理规则的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。

应用程序统计数据

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看报告和监控区域的应用程序 Web 界面用户。
• 如果在 KSMG 设置中启用了 SNMP 协议，则 snmpd 服务和启动 snmpd 服务的用户就可以访问应用程序性能统计信息。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 电子邮件附件的名称和大小。
• 邮件主题。
• LDAP 和其他 LDAP 属性中用户账户和联系人的名称。

邮件处理事件日志

/var/opt/kaspersky/ksmg

根据应用程序用户指定的设置。

默认情况下，储存期限为3天，日志最大大小为1 GB。

达到该限制时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

取决于操作系统的日志子系统的设置。

示例存储位置：/var/log/messages

取决于操作系统的日志子系统的设置

• 根用户有权访问信息的存储位置。
• 最终的用户列表取决于授予的对包含日志子系统消息的文件的访问权限。访问权限由操作系统管理员授予。

  如果向“kluser”用户授予读取访问权限，则以下用户可以查看该信息：

  • 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
  • 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

• 初始化事件的用户账户名称。
• 事件所发生的节点的 IP 地址和端口。
• 事件参数。

程序事件日志

/var/opt/kaspersky/ksmg

根据应用程序用户指定的设置。

默认情况下，存储期为 1100 天，或者日志的最大大小为 1 GB。

达到该限制时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看应用程序事件 权限的应用程序 Web 界面用户。

取决于操作系统的日志子系统的设置。

示例存储位置：/var/log/messages

取决于操作系统的日志子系统的设置。

• 根用户有权访问信息的存储位置。
• 最终的用户列表取决于授予的对包含日志子系统消息的文件的访问权限。访问权限由操作系统管理员授予。

  如果向“kluser”用户授予访问权限，则以下用户可以查看该信息：

  • 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
  • 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。

应用程序更新数据：

• 用于下载更新的 IP 地址。
• 更新源的 IP 地址。
• 有关已下载文件和下载速度的信息。

用户账户信息：

• 管理员账户和应用程序网页界面用户账户名称。
• LDAP 和其它 LDAP 属性中的用户账户名。

跟踪文件

/var/log/kaspersky/ksmg

不定。

当每个跟踪流的大小达到150 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在接收诊断信息时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序网页界面用户。

取决于操作系统的日志子系统的设置。

示例存储位置：/var/log/messages

取决于操作系统的日志子系统的设置。

• 根用户有权访问信息的存储位置。
• 最终的用户列表取决于授予的对包含日志子系统消息的文件的访问权限。访问权限由操作系统管理员授予。

  如果向“kluser”用户授予访问权限，则以下用户可以查看该信息：

  • 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
  • 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

/var/log/kaspersky/extra

不定。

当每个跟踪流的大小达到 400 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。

备份

/var/opt/kaspersky/ksmg

直到备份中的邮件存储期限到期。存储期限是通过应用程序的 Web 界面配置的。

大小达到7 GB 时，较早的记录会被删除。管理员可以更改该值。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• Exim 或 Postfix 用户可以在从备份发送邮件时访问邮件。
• 有权查看备份的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。

反垃圾邮件隔离

/var/opt/kaspersky/ksmg

直到邮件从隔离区释放。

当邮件从隔离区释放时，一些数据将用于路由该邮件。

大小达到1 GB 时，较早的记录会被删除。管理员可以更改该值。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看邮件队列的应用程序 Web 界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。
• 邮件中包含的 URL。
• 通过邮件收件人电子邮件地址查找的用户的 LDAP 用户 DN 记录。

KATA 隔离。

/var/opt/kaspersky/ksmg

直到邮件从隔离区释放。

当邮件从隔离区释放时，一些数据将用于路由该邮件。

当达到 1 GB 或 5000 个邮件的限制（这些值可以由管理员配置）后，新邮件不会放入 KATA 隔离区。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看邮件队列的应用程序 Web 界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。

临时文件

• /tmp/ksmgtmp
• /tmp/ksmg_filter（如果在 Exim 配置文件中，PrivateTmp 设置设置为“no”）
• /var/opt/kaspersky/ksmg/
  /tmp/ksmg_filter（如果在 Exim 配置文件中，PrivateTmp 设置设置为“yes”）

取决于操作系统及其设置。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• Exim 或 Postfix 用户可以在发送邮件时访问已处理的邮件。

通过网页界面连接：

• 用户的 IP 地址。
• 用户账户名称。

授权事件日志。

取决于操作系统的日志子系统的设置。

示例存储位置：/var/log/secure

取决于操作系统的日志子系统的设置

最终的用户列表取决于授予的对包含日志子系统消息的文件的访问权限。访问权限由操作系统管理员授予。

与 Active Directory 集成

用户对象属性：

• distinguishedName
• sAMAccountName
• msDS-PrincipalName
• userPrincipalName
• canonicalName
• displayName
• cn
• primaryGroupID
• proxyAddresses
• mail
• memberOf

联系人对象属性：

• distinguishedName
• displayName
• cn
• proxyAddresses
• mail
• memberOf

组对象属性：

• distinguishedName
• canonicalName
• objectSid
• proxyAddresses
• mail
• memberOf

• 邮件处理规则。
• 使用单点登录技术进行身份验证。
• 管理用户角色和权限或配置邮件和自定义列表处理规则时自动填充用户账户。

• /var/opt/kaspersky/
  ksmg/ldap/cache.dbm
• /var/opt/kaspersky/
  ksmg/ldap/storage

不定。

数据定期进行更新。

如果禁用和 Active Directory 进行集成，数据会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看包含账户自动完成字段的应用程序部分的应用程序 Web 界面用户。

与 Kaspersky Anti Targeted Attack Platform (KATA) 集成

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。
• 邮件中包含的 URL。

转发要在 KATA 服务器上扫描的对象

未保存数据。

未保存数据。

无访问权限。

• 正在被扫描的对象的校验和 (MD5, SHA2-256)
• 正在被查询信誉的 URL 地址
• 连接协议 ID 和端口号
• 反病毒数据库 ID 和用来扫描对象的反病毒数据库的条目 ID
• 签名文件证书信息（证书指纹和证书公钥的 SHA256 校验和）
• 已安装的软件的 ID 和完整版本
• 软件访问的 KSN 服务的 ID
• 提交对象进行扫描的日期和时间
• 软件组件的 ID
• 提交对象进行扫描的方案的 ID

发送 KSN 请求

/var/opt/kaspersky/ksmg/

不定。

存储条目的最大数量是 360000。当达到限制时，最长时间没有被访问的条目将被删除。

• 安装在计算机上的操作系统的信息（类型，版本，位数）。
• 已安装的应用程序和计算机的信息（安装了应用程序的计算机的唯一 ID；计算机上应用程序安装的唯一 ID；已安装应用程序的名称、本地化、ID 和完整版本；软件的安装日期和时间）。
• 扫描对象的信息（应用程序数据库 ID 和应用程序数据库条目 ID；根据卡巴斯基分类系统，检测到的威胁的名称；校验和 (MD5, SHA256)；扫描对象的大小、名称和类型；扫描对象完整路径；对象扫描日期和时间；用户的 IP 地址；文件和 URL 扫描结果；扫描对象的元数据；扫描的 URL；引用者标头；被扫描的 URL 的校验和；扫描对象的打包程序和容器的校验和与大小；上次数据库更新的安装日期和时间；指示检测是否来自调试的标志）。
• 已扫描电子邮件的信息（邮件 ID；邮件接收时间；攻击目标（组织名称，网站）；攻击权重级别；信任级别的值；来自 SMTP 会话的发件人的 IP 地址；邮件标头信息；中间邮件传输代理的 IP 地址；来自 SMTP 会话的数据；使用的检测方法；邮件的 DKIM 签名片段；邮件发件人身份验证结果信息；DNS 服务器连接信息；垃圾邮件检测邮件信息；邮件大小（字节）；附件大小（字节）；附件的校验和和类型；主题大小（字节）；邮件编码名称；邮件是否已在反垃圾邮件隔离区中的信息；邮件的 HTML 标记信息；MIME 部分的校验和和大小；导致邮件最终进入反垃圾邮件隔离区的规则名称列表）。
• 更新程序组件的操作信息（更新程序版本；更新程序组件更新任务的完成状态；发生错误时更新程序组件更新错误的类型和 ID；更新程序组件更新任务的退出代码；更新程序组件在该组件操作期间执行更新任务时的崩溃次数）。
• 应用程序组件操作期间发生的错误信息（遇到错误的应用程序组件信息；错误类型 ID；组件操作报告片段）。
• 统计数据包的版本信息，统计数据收集开始的日期和时间，统计数据收集结束的日期和时间。
• 应用程序使用授权许可的信息（授权许可 ID、提供授权许可的合作伙伴的 ID、授权许可密钥的序列号、添加授权许可密钥的日期和时间、指示 KSN 声明已被接受的指示器）。

发送 KSN 统计数据

KSN 服务器

在发送统计数据到 KSN 之前。

在应用程序设置中禁用发送 KSN 统计数据后，下次尝试发送数据时数据将被删除。