Анализ событий в контейнере

04 сентября 2026

ID 304075

В разделе Исследование → События контейнеров → События в контейнере Kaspersky Container Security дает возможность систематизировать произошедшие в контейнерах события для последующего анализа. Систематизация осуществляется на основе применимых политик среды выполнения для контейнеров.

В таблице на вкладке События в контейнере решение показывает следующую информацию о событиях:

Дата и время наступления события в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
Тип события – Процесс, Файловые операции, Открытие портов, Защита от файловых угроз или Сетевой трафик.
Режим примененной политики среды выполнения – Аудит или Блокирование.
Дополнительные данные о событии, которые отображаются следующим образом:
- для запуска процессов показывается выполненная в контейнере команда;
- для файловых операций приводится тип операции (например, запись или удаление);
- для мониторинга открытия портов контейнера показывается номер открывшегося порта;
- для сетевого трафика отображается источник и получатель трафика, а именно имя пода или домена источника, порты и IP-адреса;
- для событий, произошедших в рамках работы компонента Защита от файловых угроз, показывается название найденного вредоносного ПО.
Имя запускаемого исполняемого файла контейнера с полным путем расположения. Для файловых операций путь к файлу отображается как имя и расположение файла или директории в файловой системе контейнера, в отношении которого были проведены какие-либо действия.

С помощью фильтров вы можете настроить отображение информации в таблице следующим образом:

По типам событий:
- по запущенным процессам;
- по файловым операциям;
- по открытию портов контейнера;
- по обнаруженному в рамках работы компонента Защита от файловых угроз вредоносному ПО;
- по сетевому трафику.
По режиму примененной политики среды выполнения. Доступны следующие варианты для выбора: Все, Аудит и Блокирование.
По времени наступления события (требуется указать дату и время события). По умолчанию решение показывает события за текущий день.
По данным о событии или пути (требуется ввести данные или путь в поле поиска).

Нажав на строку события в таблице, вы можете раскрыть боковую панель с подробной информацией о выбранном событии.

При анализе событий нужно учитывать имеющиеся ограничения в отношении политик среды выполнения.

Поиск событий контейнеров

Подробная информация о запущенном процессе

Чтобы открыть подробную информацию о запущенном процессе:

Нажмите на любое место в строке события Процесс в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
В открывшейся боковой панели перейдите на вкладку Информация.

Kaspersky Container Security отображает следующие данные:

В блоке Общая информация указываются общие данные:
- Дата и время запуска процесса в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
- Запущенная команда, включая аргументы.
- Путь к файлу или директории.
- Режим примененной политики среды выполнения.
В блоке Местоположение приводится следующая информация о контейнере, где был запущен процесс:
- Идентификатор и имя контейнера.
- Имя и контрольная сумма образа. Вы можете открыть страницу с результатами сканирования образа, нажав на имя этого образа.
  Для просмотра результатов сканирования образа требуются права на просмотр результатов сканирования образов. Также вам должна быть доступна область применения по кластерам.
- Имя и метки пода. Вы можете открыть подробную информацию о поде, нажав на имя пода.
  Для просмотра информации о поде требуются права на просмотр ресурсов кластера. Также вам должна быть доступна соответствующая область применения.
- Название пространства имен.
- Имя кластера.
- Имя и IP-адрес узла.
В блоке Процесс представлены следующие данные о запущенном процессе:
- Идентификатор процесса (англ. Process Identifier, PID) и новый PID.
- Идентификатор родительского процесса (англ. Parent Process Identifier, PPID).
- Действующий идентификатор пользователя (англ. Effective User Identifier, EUID).
- Действующий идентификатор группы (англ. Effective Group Identifier, EGID).

Подробная информация о файловых операциях

Чтобы открыть подробную информацию о файловых операциях:

Нажмите на любое место в строке события Файловые операции в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
В открывшейся боковой панели перейдите на вкладку Информация.

Kaspersky Container Security отображает следующие данные:

В блоке Общая информация указываются общие данные:
- Дата и время выполнения файловой операции в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
- Тип файловой операции. Kaspersky Container Security выявляет следующие типы файловых операций:
  - Открытие (англ. Open).
  - Создание (англ. Create).
  - Чтение (англ. Read).
  - Запись (англ. Write).
  - Переименование или перемещение (англ. Rename or move).
  - Удаление (англ. Delete).
  - Изменение владельца (англ. Change ownership, CHOWN).
  - Изменение прав доступа (англ. Change access permissions, CHMOD).
- Путь к файлу или директории.
- Новый путь к файлу или директории (отображается только для файловой операции типа Переименование или перемещение).
- Новые права (отображается только для файловой операции типа Изменение прав доступа).
- Режим примененной политики среды выполнения.
- Код ошибки (отображается только при наличии ошибки).
В блоке Местоположение приводится следующая информация о контейнере, где были найдены файловые операции:
- Идентификатор и имя контейнера.
- Имя и контрольная сумма образа. Вы можете открыть страницу с результатами сканирования образа, нажав на имя этого образа.
  Для просмотра результатов сканирования образа требуются права на просмотр результатов сканирования образов. Также вам должна быть доступна область применения по кластерам.
- Имя пода. Вы можете открыть подробную информацию о поде, нажав на имя пода.
  Для просмотра информации о поде требуются права на просмотр ресурсов кластера. Также вам должна быть доступна соответствующая область применения.
- Название пространства имен.
- Имя кластера.
- Имя и IP-адрес узла.
В блоке Процесс представлены следующие данные о процессе, в котором были найдены файловые операции:
- Идентификатор процесса (англ. Process Identifier, PID) и новый PID.
- Идентификатор родительского процесса (англ. Parent Process Identifier, PPID).
- Действующий идентификатор пользователя (англ. Effective User Identifier, EUID).
- Действующий идентификатор группы (англ. Effective Group Identifier, EGID).
- Идентификатор пользователя нового владельца (отображается только для файловой операции типа Изменение владельца).
- Идентификатор группы нового владельца (отображается только для файловой операции типа Изменение владельца).

Подробная информация о сетевом трафике

Чтобы открыть подробную информацию о файловых операциях,

Нажмите на любое место в строке события Сетевой трафик в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
В открывшейся боковой панели перейдите на вкладку Информация.

Kaspersky Container Security отображает следующие данные:

В блоке Общая информация указываются общие данные:
- Дата и время сетевого события в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
- Доменное имя сетевого ресурса, по которому у DNS-сервера запрашивается преобразование доменного имени в IP-адрес.
  Для этого доменного имени доступен просмотр данных о репутации.
- Итоговый статус репутации, который формируется на основании данных пользовательской и локальной баз репутаций.
  Приоритет при формировании итогового статуса репутации отдается данным пользовательской базы репутаций.
В блоках Источник и Точка назначения для доменного имени и IP-адреса источника и получателя сетевого трафика отображаются значки статуса репутации. Вы можете открыть подробную информацию об объекте, нажав на ссылку Дополнительная информация. В боковой панели представлены статусы репутации согласно пользовательской и локальной базам репутаций, категории ресурса по данным баз "Лаборатории Касперского", и ссылки на Kaspersky TIP и Kaspersky OpenTIP.
Находящаяся в открытом доступе информационная система Kaspersky Threat Intelligence Portal. Содержит информацию о киберугрозах, безопасных объектах и связях между ними.

Предоставляемая в рамках премиум-доступа информационная система Kaspersky Threat Intelligence Portal. Предлагает дополнительные инструменты для анализа киберугроз, включая поиск угроз и Kaspersky Cloud Sandbox, аналитические отчеты об APT-угрозах, ПО для финансовых преступлений и угрозах промышленной кибербезопасности, а также цифровой активности конкретной организации.

Информация по репутации отображается только для открытых сетевых ресурсов. Если сетевой ресурс находится в локальной сети, репутация для него не отображается.
В блоке Местоположение приводится следующая информация о контейнере, где был обнаружен сетевой трафик:
- Идентификатор и имя контейнера.
- Имя и контрольная сумма образа. Вы можете открыть страницу с результатами сканирования образа, нажав на имя образа.
  Для просмотра результатов сканирования образа требуются права на просмотр результатов сканирования образов. Также вам должна быть доступна область применения по кластерам.
- Имя и метки пода. Вы можете открыть подробную информацию о поде, нажав на имя пода.
- Название пространства имен.
- Имя кластера.
- Имя и IP-адрес узла.

Подробная информация о выявленных вредоносных объектах

Чтобы открыть подробную информацию о выявленных вредоносных объектах:

Нажмите на любое место в строке события Защита от файловых угроз в таблице событий безопасности в разделе Исследование → События контейнеров → Событие в контейнере.
В открывшейся боковой панели перейдите на вкладку Информация.

Kaspersky Container Security отображает следующие данные:

В блоке Общая информация указываются общие данные:
- Дата и время выявления вредоносного ПО в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
- Название вредоносного ПО.
- Тип обнаруженного вредоносного ПО (например, вирусное ПО).
- Уровень критичности вредоносного ПО.
- Контрольные суммы файла в форматах MD5 и SHA256.
- Тип события (например, выявленная угроза).
- Путь к файлу или директории.
- Идентификатор владельца.
- Идентификатор объекта.
- Режим примененной политики среды выполнения.
- Режим работы файлового перехватчика (работает вне зависимости от режима примененной политики среды выполнения).
В блоке Местоположение приводится следующая информация о контейнере, где было найдено вредоносное ПО:
- Идентификатор и имя контейнера.
- Имя и контрольная сумма образа. Вы можете открыть страницу с результатами сканирования образа, нажав на имя образа.
  Для просмотра результатов сканирования образа требуются права на просмотр результатов сканирования образов. Также вам должна быть доступна область применения по кластерам.
- Имя и метки пода. Вы можете открыть подробную информацию о поде, нажав на имя пода.
  Для просмотра информации о поде требуются права на просмотр ресурсов кластера. Также вам должна быть доступна соответствующая область применения.
- Название пространства имен.
- Имя кластера.
- Имя и IP-адрес узла.
В блоке Процесс представлены следующие данные о процессе, в котором было выявлено вредоносное ПО:
- Идентификатор процесса (англ. Process Identifier, PID).
- Действующий идентификатор пользователя (англ. Effective User Identifier, EUID).

Подробная информация об открытии портов

Чтобы посмотреть подробную информацию об открытии портов:

Нажмите на любое место в строке события Открытие портов в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
В открывшейся боковой панели перейдите на вкладку Информация.
Kaspersky Container Security отображает следующие данные:
- В блоке Общая информация указываются общие данные:
  - Дата и время обнаружения открытия порта в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
  - Номер порта, который был открыт.
  - IP-адрес объекта.
  - Путь к файлу или директории в файловой системе хост-сервера, где находится запускаемый файл.
  - Режим примененной политики среды выполнения.
- В блоке Местоположение приводится следующая информация о контейнере, где был запущен процесс:
  - Идентификатор и имя контейнера.
  - Имя и контрольная сумма образа. Вы можете открыть страницу с результатами сканирования образа, нажав на имя этого образа.
    Для просмотра результатов сканирования образа требуются права на просмотр результатов сканирования образов. Также вам должна быть доступна область применения по кластерам.
  - Имя и метки пода. Вы можете открыть подробную информацию о поде, нажав на имя пода.
    Для просмотра информации о поде требуются права на просмотр ресурсов кластера. Также вам должна быть доступна соответствующая область применения.
  - Название пространства имен.
  - Имя кластера.
  - Имя и IP-адрес узла.
- В блоке Процесс представлены следующие данные о запущенном процессе:
  - Идентификатор родительского процесса (англ. Parent Process Identifier, PPID).
  - Идентификатор процесса (англ. Process Identifier, PID) и новый PID.
  - Действующий идентификатор пользователя (англ. Effective User Identifier, EUID).

Исследование событий контейнеров с учетом примененных политик

При рассмотрении события следует анализировать политики среды выполнения, которые были применены к контейнеру.

Чтобы посмотреть примененные политики среды выполнения:

Нажмите на любое место в строке события в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
Перейдите на вкладку Примененные политики.
Решение в виде таблицы приводит список всех политик среды выполнения, которые могли применяться к контейнеру. Для каждой политики решение показывает название, сработавший параметр (профили и автопрофили среды выполнения контейнеров) и режим применения политики.

Вы можете открыть боковую панель с подробным описанием примененной политики, нажав на название политики. Решение отображает следующую информацию о политике среды выполнения для контейнеров:
- Название и описание политики среды выполнения.
- Режим политики среды выполнения – Аудит или Блокирование.
- Перечень областей применения, к которым применяется политика среды выполнения.
- Имя пользователя, который создал политику среду выполнения.
- Включенные в среде выполнения параметры профилирования. Доступны следующие значения: Профили среды выполнения контейнеров и Автопрофили контейнеров.
Вы можете изменить параметры политики среды выполнения для контейнеров, нажав на кнопку Изменить политику среды выполнения.

Для изменения параметров политики среды выполнения требуются права на управление политиками среды выполнения.

При просмотре информации о политике действуют ограничения.

Если примененная политика является внешней для Kaspersky Container Security, решение не может предоставить ее подробное описание и сработавшие параметры.

Решение отображает политики в зависимости от режима применения политики среды выполнения. Если установлен режим Аудит, отображаются все политики среды выполнения, которые соответствуют этому условию. Если установлен режим Блокирование, отображаются все политики среды выполнения, которые соответствуют этому условию и блокируют операцию. В этом случае политики в режиме Аудит не отображаются.

Если в политике среды выполнения установлен режим Блокирование, а параметры профиля среды выполнения поддерживают только режим Аудит, в примененных политиках будут представлены политики среды выполнения и с режимом Аудит, и с режимом Блокирование.

Исследование событий контейнеров с учетом соседних событий

При рассмотрении события следует обращать внимание и анализировать те события, которые произошли до и после интересующего вас события.

Чтобы посмотреть события, которые произошли до и после интересующего вас события:

Нажмите на любое место в строке события в таблице событий безопасности в разделе Исследование → События контейнеров → События в контейнере.
Перейдите на вкладку Соседние события.

По умолчанию решение в виде таблицы показывает следующее:

Рассматриваемое событие.
3 события, произошедшие до рассматриваемого события.
46 событий, произошедших после рассматриваемого события.

При необходимости вы можете дополнительно загрузить 50 записей о событиях до отображаемых в таблице событий и 50 событий после них. Для этого требуется нажать на кнопки Предыдущие 50 событий и Последующие 50 событий, соответственно.

Вы можете скачать файл с данными о рассматриваемом и соседних для него событиях, нажав на кнопку Скачать необработанные данные. По умолчанию в этом файле содержится перечень событий, произошедших за полчаса до рассматриваемого события и в течение часа после него. При необходимости вы можете изменить значения параметров хранения данных.

Вы можете найти интересующее вас событие, указав в поле Поиск имя или хеш образа.

Для каждого события вы также можете посмотреть события в диапазоне 90 дней. Например, если вы просматриваете событие за текущий день, то можете открыть события за прошедшие 90 дней. Если интересующее вас событие произошло 45 дней назад, вы можете открыть события, произошедшие за 45 дней до рассматриваемого события.

Для каждого события в таблице решение показывает следующую информацию:

Дата и время наступления события в формате дд.мм.гггг, ч:мин:с.мс (например, 24.02.2026, 13:40:48.845).
Тип события – Процесс, Файловые операции, Открытие портов, Сетевой трафик или Защита от файловых угроз.
Информация о событии с учетом типа события. Решение отображает следующие данные:
- Для события типа Процесс показывается команда, запустившая процесс.
- Для события типа Файловые операции приводится тип файловой операции (например, Создание или Чтение).
- Для события типа Защита от файловых угроз отображается название обнаруженного вредоносного ПО и уровень его критичности.
- Для события типа Сетевой трафик показываются имя и IP-адрес пода источника и точки назначения соединения. По ссылке в имени пода вы можете открыть боковую панель с подробной информацией о рассматриваемом поде.
- Для события типа Открытие портов приводится номер открывшегося порта.
Полный путь расположения. Для события типа Файловые операции приводятся имя и расположение файла и директории в файловой системе контейнера, над которым были проведены какие-либо действия.

Вы можете открыть боковую панель с подробной информацией о выбранном событии, нажав на строку события в таблице.

Вы можете настроить отображение событий в таблице с помощью кнопок с указанием типа события, которые расположены над таблицей. Вы можете выключить кнопки с неинтересующими вас типами событий, в таблице будут представлены только события выбранных типов. По умолчанию включено отображение всех типов событий.

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!