Формат событий действий пользователей
12 октября 2026
ID 335261
Каждое событие действий пользователей сохраняется в формате CEF и состоит из заголовка и расширения.
Заголовок события
В заголовке каждого события действий пользователей имеются следующие поля, разделенные вертикальными чертами (|):
- Формат версии CEF –
CEF:<версия>. - Название поставщика. Значение этого поля всегда
Kaspersky. - Название приложения. Значение этого поля всегда
CyberTrace. - Версия решения. Значение этого поля – текущая версия Kaspersky CyberTrace.
- Класс события.
- Тип события.
- Уровень критичности.
В таблице ниже перечислены возможные классы и типы событий и их уровни критичности.
Классы, типы и уровни критичности событий
Класс события | Описание | Тип события | Уровень критичности |
|---|---|---|---|
|
| События, связанные с действиями с учетными записями пользователей.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с Kaspersky CyberTrace Service.
|
|
|
|
| ||
|
| ||
|
| События, связанные с настройкой Kaspersky CyberTrace Service.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с лицензиями.
|
|
|
|
| ||
|
| События, связанные с действиями с потоками данных.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с тенантами.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с настройкой тенанта.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с потоками данных в тенанте.
|
|
|
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с индикаторами в тенанте.
|
|
|
|
| ||
|
| ||
|
| ||
|
| События, связанные с ретросканом.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с внешними источниками.
|
|
|
|
| ||
|
| ||
|
| События, связанные с экспортом индикаторов.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| События, связанные с действиями с отчетами.
|
|
|
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
|
Расширение события
Все поля расширений событий деятельности пользователей представлены в формате строк <ключ>=<значение>, разделенных пробелом. Если расширение события деятельности пользователей содержит обратную косую черту (\), подчеркивание (_) или вертикальную черту (|), они экранируются обратной косой чертой (\).
Расширения событий деятельности пользователей могут содержать общие ключи и значения, доступные вне зависимости от типа события, а также ключи и значения, зависящие от типа события.
Пример события
Ниже приведен пример события активности пользователей.
CEF:0|Kaspersky|CyberTrace|5.4|User|User Login|Low|rt=2026-09-16T14:44:48.803Z dhost=< |
