Рекомендации по использованию Log Scanner

Рекомендуется использовать Kaspersky CyberTrace Service вместе с Log Scanner в следующих случаях:

• Необходимо проверить несколько файлов журналов и сохранить результат проверки в файл.

  Это может быть удобно при расследовании инцидентов информационной безопасности, когда используемая SIEM-система недоступна или SIEM-системы не используются.

• Необходимо проверить несколько файлов журналов и отправить результаты проверки в используемую SIEM-систему.

Настройка Kaspersky CyberTrace Service и Log Scanner

Kaspersky CyberTrace Service и Log Scanner должны взаимодействовать правильным образом, поэтому необходимо обеспечить взаимное соответствие их параметров:

• Порт, заданный в элементе Settings > Connection конфигурационного файла Log Scanner, должен соответствовать порту, указанному в элементе InputSettings > ConnectionString конфигурационного файла Kaspersky CyberTrace Service.
• Количество потоков, указанное в элементе Settings > ThreadsCount конфигурационного файла Log Scanner, должно быть меньше, чем количество, указанное в элементе ServiceSettings > ScannersCount конфигурационного файла Kaspersky CyberTrace Service.
• Данные, отправляемые Log Scanner в Kaspersky CyberTrace Service — либо строки файлов журналов, либо строки, созданные на основе элемента конфигурационного файла Log Scanner Settings > Pattern — должны поддаваться парсингу с помощью регулярных выражений, указанных в элементе Configuration > InputSettings > RegExps конфигурационного файла Kaspersky CyberTrace Service.

Примеры конфигурационных файлов

Ниже приведен отрывок из примера конфигурационного файла Kaspersky CyberTrace Service.

Ниже приведен отрывок из конфигурационного файла Log Scanner, который соответствует конфигурационному файлу Kaspersky CyberTrace Service, приведенному выше.

При использовании этих конфигурационных файлов Log Scanner отправляет запросы на IP-адрес 127.0.0.1 и порт 9999, а Kaspersky CyberTrace Service прослушивает порт 9999 для получения данных на проверку. Как Log Scanner, так и Kaspersky CyberTrace Service используют до восьми потоков для передачи и обработки данных (Kaspersky CyberTrace Service использует один из потоков для механизма проверки работоспособности). Если в Kaspersky CyberTrace Service отправляются корректные URL, IP-адреса и хеши, они будут проходить парсинг с использованием регулярных выражений, указанных в конфигурационном файле Kaspersky CyberTrace Service.

Работа с результатами проверки

После того, как данные будут проверены Kaspersky CyberTrace Service, можно отправить результаты проверки в целевое программное обеспечение или сохранить их в файл:

• Для отправки результатов проверки в целевое программное обеспечение задайте правильное значение элемента OutputSettings > ConnectionString в конфигурационном файле Kaspersky CyberTrace Service.
• Чтобы сохранить результаты проверки в файл, передайте параметр -r при запуске Log Scanner из командной строки следующим образом:

  ./log_scanner -r -p file_to_check (в Linux)

  log_scanner.exe -r -p file_to_check (в Windows)

  Значение атрибута enable элемента OutputSettings > FinishedEventFormat в конфигурационном файле Kaspersky CyberTrace Service не должно быть false.

Пример отчета

Содержание отчета зависит от значения элемента OutputSettings > EventFormat в конфигурационном файле Kaspersky CyberTrace Service.

Ниже приведен пример отчета, отправляемого из Kaspersky CyberTrace Service в Log Scanner.