Примеры сценариев использования
22 августа 2024
ID 171645
В этом разделе приведены примеры использования Log Scanner в некоторых ситуациях.
Проверка нескольких файлов журналов
Все файлы журналов, передаваемые на проверку, должны быть в кодировке UTF-8. Если файлы журналов имеют другую кодировку, их необходимо преобразовать в UTF-8.
Если есть потоки данных об угрозах, которые еще не были скомпилированы, и каталог, содержащий файлы журнала, можно проверить файлы журнала по следующей процедуре.
Чтобы проверить несколько файлов журналов, выполните следующие действия:
- В конфигурационном файле kl_feed_service.conf укажите используемые потоки данных об угрозах, правила нормализации для обработки событий в файлах журналов и регулярные выражения для парсинга событий.
- Запустите Kaspersky CyberTrace Service:
systemctl start cybertrace.service
(в Linux)sc start cybertrace
(в Windows) - Запустите утилиту Log Scanner и укажите каталог, в котором находятся файлы журналов. Например:
./log_scanner -r –p ../logs
(в Linux)log_scanner.exe -r –p ..\logs
(в Windows) - Остановите Kaspersky CyberTrace Service следующей командой:
systemctl stop cybertrace.service
(в Linux)sc stop cybertrace
(в Windows)
После завершения работы Log Scanner каталог, указанный в элементе OutputDir
конфигурационного файла log_scanner.conf, будет содержать отчет об URL и хешах, обнаруженных Kaspersky CyberTrace Service.
Проверка нескольких URL и хешей
Если требуется проверить несколько URL и хешей, выполните действия в следующем порядке.
Чтобы проверить несколько URL и хешей, выполните следующие действия:
- Запустите Kaspersky CyberTrace Service следующей командой:
systemctl start cybertrace.service
(в Linux)sc start cybertrace
(в Windows) - Запустите Log Scanner и укажите хеши для проверки. Например:
./log_scanner -r -s A72C5B99F2706B00718279C9533A3648 -s 6AA0321FA9D82D652AB53882D7CF9E592B4439B8
(в Linux)log_scanner.exe -r -s A72C5B99F2706B00718279C9533A3648 -s 6AA0321FA9D82D652AB53882D7CF9E592B4439B8
(в Windows) - Запустите Log Scanner и укажите URL для проверки. Например:
./log_scanner -r –u test.mav.example.com?bad_url=1 -u test.phishing.example.com/psh/test?p=1&p=2
(в Linux)log_scanner.exe -r –u test.mav.example.com?bad_url=1 -u test.phishing.example.com/psh/test?p=1&p=2
(в Windows) - Остановите Kaspersky CyberTrace Service следующей командой:
systemctl stop cybertrace.service
(в Linux)sc stop cybertrace
(в Windows)
После завершения работы Log Scanner каталог, указанный в элементе OutputDir
конфигурационного файла log_scanner.conf, будет содержать отчет об URL, обнаруженных Kaspersky CyberTrace Service, и отчет об обнаруженных хешах.