應用程式的基本功能

• 應用程式管理員和使用者的賬戶名稱。
• 應用程式使用者賬戶的存取權限。
• 應用程式用來連線到代理伺服器的使用者賬戶名稱。
• 用於連線到 LDAP 伺服器的 Keytab 檔案和設定。
• 用於透過 SSO Kerberos 連線的 Keytab 檔案以及用於連線到 NTLM 伺服器的設定。
• 註釋。
• 啟動碼或啟動金鑰（用於啟動正在新增的叢集節點；代碼或金鑰被傳送到啟動伺服器）。
• 叢集節點的 Web 伺服器的公共憑證。

應用程式配置

/var/opt/kaspersky/ksmg

不定。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權檢視應用程式設定和檢視使用者帳戶的應用程式 Web 介面的使用者。

用於建立 TLS 連線的私人憑證

應用程式配置

/var/opt/kaspersky/ksmg/certs/

不定。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。

• 本機特權使用者帳戶密碼的雜湊值。
• MTA 過濾器設定。
• 卡巴斯基安全管理中心和 KATA 整合設定。

應用程式配置

/var/opt/kaspersky/ksmg/certs/

不定。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• Nginx 使用者可以存取正在節點之間傳輸的資料。

• LDAP 和其他 LDAP 屬性中使用者帳戶和聯絡人的名稱。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件寄件者的 IP 位址。
• 註釋。

郵件處理規則和自訂清單。

/var/opt/kaspersky/ksmg

不定。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權檢視郵件處理規則的應用程式網頁介面使用者。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。

應用程式統計資料

/var/opt/kaspersky/ksmg

不定。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權檢視報告和監控區域的應用程式 Web 介面使用者。
• 如果在 KSMG 設定中啟用了 SNMP 協定，則snmpd 服務和啟動 snmpd 服務的使用者就可以存取應用程式效能統計資料。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 電子郵件附件的名稱和大小。
• 郵件主旨。
• LDAP 和其他 LDAP 屬性中使用者帳戶和聯絡人的名稱。

郵件處理事件記錄

/var/opt/kaspersky/ksmg

根據應用程式使用者指定的設定。

預設情況下，儲存期限為 3 天，記錄最大大小為 1 GB。

達到該限制時，較早的記錄會被刪除。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 擁有 檢視郵件流量事件 權限的應用程式 Web 介面使用者。

取決於作業系統的日誌子系統的設定。

範例儲存位置：/var/log/messages

取決於作業系統的日誌子系統的設定

• 根使用者有權存取資訊的儲存位置。
• 最終的使用者清單取決於授予的對包含日誌子系統訊息的檔案的存取權限。存取權限由作業系統管理員授予。

  如果向“kluser“使用者授予讀取存取權限，則以下使用者可以檢視該資訊：

  • 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
  • 擁有 檢視郵件流量事件 權限的應用程式 Web 介面使用者。

• 初始化事件的使用者帳戶名稱。
• 事件所發生的節點的 IP 位址和連接埠。
• 事件參數。

應用程式事件記錄

/var/opt/kaspersky/ksmg

根據應用程式使用者指定的設定。

預設情況下，儲存期為 1100 天，或者記錄的最大大小為 1 GB。

達到該限制時，較早的記錄會被刪除。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 擁有 檢視應用程式事件 權限的應用程式 Web 介面使用者。

取決於作業系統的日誌子系統的設定。

範例儲存位置：/var/log/messages

取決於作業系統的日誌子系統的設定。

• 根使用者有權存取資訊的儲存位置。
• 最終的使用者清單取決於授予的對包含日誌子系統訊息的檔案的存取權限。存取權限由作業系統管理員授予。

  如果向“kluser“使用者授予存取權限，則以下使用者可以檢視該資訊：

  • 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
  • 擁有 檢視郵件流量事件 權限的應用程式 Web 介面使用者。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件主旨。
• 郵件本文和大小。
• 郵件控制頭。
• 電子郵件附件的名稱、大小和本文。

應用程式更新資料：

• 用於下載更新的 IP 位址。
• 更新來源的 IP 位址。
• 有關已下載檔案和下載速度的資訊。

使用者帳戶資訊：

• 管理員賬戶和應用程式網頁介面使用者賬戶名稱。
• LDAP 和其他 LDAP 內容中的使用者帳戶名稱。

追蹤檔案

/var/log/kaspersky/ksmg

不定。

當每個追蹤流的大小達到 150 MB 時，較早的記錄會被刪除。

• 根使用者有權存取資訊的儲存位置。
• Kluser 使用者有權存取資訊的儲存位置以及在接收診斷資訊時存取資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權接收診斷資訊的應用程式網頁介面使用者。

取決於作業系統的日誌子系統的設定。

範例儲存位置：/var/log/messages

取決於作業系統的日誌子系統的設定。

• 根使用者有權存取資訊的儲存位置。
• 最終的使用者清單取決於授予的對包含日誌子系統訊息的檔案的存取權限。存取權限由作業系統管理員授予。

  如果向“kluser“使用者授予存取權限，則以下使用者可以檢視該資訊：

  • 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
  • 擁有 檢視郵件流量事件 權限的應用程式 Web 介面使用者。

/var/log/kaspersky/extra

不定。

當每個追蹤流的大小達到 400 MB 時，較早的記錄會被刪除。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置，也可以在接收診斷資訊和記錄事件時存取資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 擁有 檢視郵件流量事件 權限的應用程式 Web 介面使用者。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件主旨。
• 郵件本文和大小。
• 郵件控制頭。
• 電子郵件附件的名稱、大小和本文。

備份

/var/opt/kaspersky/ksmg

直到備份中的郵件儲存期限到期。儲存期限是透過應用程式的 Web 介面配置的。

大小達到 7 GB 時，較早的記錄會被刪除。管理員可以變更該值。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• Exim 或 Postfix 使用者可以在從備份傳送郵件時存取郵件。
• 有權檢視備份的應用程式網頁介面使用者。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件主旨。
• 郵件本文和大小。
• 郵件控制頭。
• 電子郵件附件的名稱、大小和本文。

垃圾郵件防護隔離

/var/opt/kaspersky/ksmg

直到郵件從隔離區釋放。

當郵件從隔離區釋放時，一些資料將用於路由該郵件。

大小達到 1 GB 時，較早的記錄會被刪除。管理員可以變更該值。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權檢視郵件佇列的應用程式 Web 介面使用者。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件主旨。
• 郵件本文和大小。
• 郵件控制頭。
• 電子郵件附件的名稱、大小和本文。
• 郵件中包含的 URL。
• 透過郵件收件者電子郵件地址尋找的使用者的LDAP 使用者 DN 記錄。

KATA 隔離。

/var/opt/kaspersky/ksmg

直到郵件從隔離區釋放。

當郵件從隔離區釋放時，一些資料將用於路由該郵件。

當達到 1 GB 或 5000 個郵件的限制（這些值可以由管理員設定）後，新郵件不會放入 KATA 隔離區。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權檢視郵件佇列的應用程式 Web 介面使用者。

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件主旨。
• 郵件本文。
• 郵件控制頭。
• 電子郵件附件的名稱和本文。

暫存檔案

• /tmp/ksmgtmp
• /tmp/ksmg_filter（如果在 Exim 設定檔中，PrivateTmp 設定為“no“）
• /var/opt/kaspersky/ksmg/
  /tmp/ksmg_filter（如果在 Exim 設定檔中，PrivateTmp 設定為“yes“）

取決於作業系統及其設定。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• Exim 或 Postfix 使用者可以在傳送郵件時存取已處理的郵件。

透過網頁介面連線：

• 使用者的 IP 位址。
• 使用者帳戶名稱。

授權事件記錄。

取決於作業系統的日誌子系統的設定。

範例儲存位置：/var/log/secure

取決於作業系統的日誌子系統的設定

最終的使用者清單取決於授予的對包含日誌子系統訊息的檔案的存取權限。存取權限由作業系統管理員授予。

與 Active Directory 整合

使用者物件屬性：

• distinguishedName
• sAMAccountName
• msDS-PrincipalName
• userPrincipalName
• canonicalName
• displayName
• cn
• primaryGroupID
• proxyAddresses
• mail
• memberOf

聯絡人物件屬性：

• distinguishedName
• displayName
• cn
• proxyAddresses
• mail
• memberOf

群組物件屬性：

• distinguishedName
• canonicalName
• objectSid
• proxyAddresses
• mail
• memberOf

• 郵件處理規則
• 使用單點登入技術進行身分驗證。
• 管理使用者角色和權限或設定郵件和自訂清單處理規則時自動填滿使用者帳戶。

• /var/opt/kaspersky/
  ksmg/ldap/cache.dbm
• /var/opt/kaspersky/
  ksmg/ldap/storage

不定。

資料定期進行更新。

如果停用和 Active Directory 進行整合，資料會被刪除。

• 根使用者有權存取資訊的儲存位置。
• kluser 使用者有權存取資訊的儲存位置以及其被處理時的資料。
• 當資料在節點之間傳輸或者被傳輸到 Web 介面時，Nginx 服務可以存取資料。
• 有權檢視包含帳戶自動完成欄位的應用程式部分的應用程式 Web 介面使用者。

與 Kaspersky Anti Targeted Attack Platform (KATA) 整合

電子郵件資訊：

• 郵件寄件者的 IP 位址。
• 郵件寄件者和收件者的電子郵件信箱。
• 郵件主旨。
• 郵件本文。
• 郵件控制頭。
• 電子郵件附件的名稱和本文。
• 郵件中包含的 URL。

轉寄要在 KATA 伺服器上掃描的物件

未儲存資料。

未儲存資料。

無存取權限。

• 正在被掃描的物件的總和檢查碼 (MD5, SHA2-256)
• 正在被查詢信譽的 URL 位址
• 連線協議 ID 和連接埠編號
• 病毒資料庫 ID 和用來掃描物件的病毒資料庫的項目 ID
• 簽章檔案憑證資訊（憑證指紋和憑證公開金鑰的 SHA256 總和檢查碼）
• 已安裝的軟體 ID 和完整版本
• 軟體存取的 KSN 服務 ID
• 提交物件進行掃描的日期和時間
• 軟體元件的 ID
• 提交物件進行掃描的方案 ID

傳送 KSN 請求

/var/opt/kaspersky/ksmg/

不定。

儲存項目的最大數量是 360000。當達到限制時，最長時間沒有被存取的項目將被刪除。

• 安裝在電腦上的作業系統的資訊（類型，版本，位數）。
• 已安裝的應用程式和電腦的資訊（安裝了應用程式的電腦唯一 ID；電腦上應用程式安裝的唯一 ID；已安裝應用程式的名稱、當地語係化、ID 和完整版本；軟體的安裝日期和時間）。
• 掃描物件的資訊（應用程式資料庫 ID 和應用程式資料庫項目 ID；根據卡巴斯基分類系統，偵測到的威脅名稱；總和檢查碼（MD5、SHA256）；掃描物件的大小、名稱和類型；掃描物件完整路徑；物件掃描日期和時間；使用者的 IP 位址；檔案和 URL 掃描結果；掃描物件的轉送資料；掃描的 URL；引用者標頭；被掃描的 URL 的總和檢查碼；掃描物件的封包程式和容器的總和檢查碼與大小；上次資料庫更新的安裝日期和時間；指示偵測是否來自偵錯的標誌）。
• 已掃描電子郵件的資訊（郵件 ID；郵件接收時間；攻擊目標（組織名稱，網站）；攻擊權重級別；信任級別的值；來自 SMTP 工作階段的 寄件者的 IP 位址；郵件標頭資訊；中間郵件傳輸代理的 IP 位址；來自 SMTP 工作階段的資料；使用的偵測方法；郵件的 DKIM 簽章片段；郵件寄件者身分驗證結果資訊；DNS 伺服器連線資訊；垃圾郵件偵測郵件資訊；郵件大小（位元組）；附件大小（位元組）；附件的總和檢查碼和類型；主旨大小（位元組）；郵件編碼名稱；郵件是否已在垃圾郵件防護隔離區中的資訊；郵件的 HTML 标記資訊；MIME 部分的總和檢查碼和大小；導致郵件最終進入垃圾郵件防護隔離區的規則名稱清單）。
• 更新程式元件的操作資訊（更新程式版本；更新程式元件更新工作的完成狀態；發生錯誤時更新程式元件更新錯誤的類型和 ID；更新程式元件更新工作的結束代碼；更新程式元件在該元件操作期間執行更新工作時的崩潰次數）。
• 應用程式元件操作期間發生的錯誤資訊（遇到錯誤的應用程式元件資訊；錯誤類型 ID；元件操作報告片段）。
• 統計資料包的版本資訊，統計資料收集開始的日期和時間，統計資料收集結束的日期和時間。
• 應用程式使用產品授權的資訊（產品授權 ID、提供產品授權的合作夥伴 ID、產品授權金鑰序號、新增產品授權金鑰的日期和時間、指示 KSN 聲明已被接受的指示器）。

傳送 KSN 統計資料

KSN 伺服器

在傳送統計資料到 KSN 之前。

在應用程式設定中停用傳送 KSN 統計資料後，下次嘗試傳送資料時資料將被刪除。