Данные в журналах и файлах трассировки
Компонент Endpoint Sensors может выполнять запись отладочной информации компонента и драйверов компонента в соответствии с заданными параметрами в файлы трассировки. По умолчанию компонент Endpoint Sensors не записывает отладочную информацию. Автоматическая отправка файлов трассировки за пределы хоста, на котором они были сформированы, не производится. Содержимое файлов трассировки можно просмотреть с помощью стандартных средств просмотра текстовых файлов. Файлы трассировки полностью удаляются при удалении компонента Endpoint Sensors.
Файлы трассировки хранятся в открытом незашифрованном виде в следующих папках:
- Файлы трассировки сервисной части и драйверов компонента Endpoint Sensors в папке C:\ProgramData\Kaspersky Lab\Endpoint Sensor 3.6\logs\system.
Пользователи с правами учетной записи операционной системы System и Administrator могут удалять файлы, изменять их содержимое и изменять права доступа к ним.
- Файлы трассировки оболочки Shell и графического интерфейса компонента Endpoint Sensors в папке C:\ProgramData\Kaspersky Lab\Endpoint Sensor 3.6\logs\user.
Пользователи с правами учетной записи операционной системы User, System и Administrator могут удалять файлы и изменять их содержимое. Пользователи с правами учетной записи операционной системы System и Administrator могут также изменять права доступа к файлам.
Компонент Endpoint Sensors не управляет правами доступа к этим папкам и их файлам. По умолчанию доступ к файлам на чтение имеют только пользователи с правами System и Administrator.
Данные в файлах трассировки могут содержать следующую информацию:
- Время события.
- Номер потока выполнения.
- Компонент программы, в результате работы которого произошло обнаружение.
- Важности события.
- Об исполняемых модулях.
- Об открытых портах.
- О сетевых соединениях.
- Об операционной системе, установленной на компьютере с компонентом Endpoint Sensors.
- Об учетных записях пользователей операционной системы.
- О пользовательских сессиях в операционной системе.
- О журнале событий Windows.
- Об обнаружениях Kaspersky Endpoint Security для Windows.
- Об организационных подразделениях (OU) Active Directory.
- Уникальный идентификатор компьютера с компонентом Endpoint Sensors.
- Полное доменное имя компьютера.
- Серийный номер логического диска.
- Заголовки протокола HTTP.
- Полные пути к файлам компьютеров с компонентом Endpoint Sensors.
- Имена файлов компьютеров с компонентом Endpoint Sensors.
- Полные имена папок компьютеров с компонентом Endpoint Sensors.
- Домашняя папка локального пользователя.
- Имя учетной записи пользователя, запустившего процесс.
- Путь к скрипту, запускаемому при входе пользователя в систему.
- Имя пользователя, под учетной записью которого произошло событие.
- URL- и IP-адреса посещенных веб-сайтов, а также ссылки с этих веб-сайтов.
- При использовании прокси-сервера: IP-адрес прокси-сервера, имя компьютера, порт, имя пользователя прокси-сервера.
- Внешние IP-адреса, с которыми было установлено соединение с локального компьютера.
- Команды запуска процесса.
- Параметры командной строки.
- Идентификатор Агента администрирования Kaspersky Security Center.
- Пути к ключам в реестре Windows.
- Имена переменных реестра Windows.
- Значения переменных реестра Windows.
- Разделы реестра Windows.
- Имена обнаруженных объектов.
- Имя записи локального DNS-кеша.
- IP-адрес из записи локального DNS-кеша в формате IPv4.
- IP-адрес или имя запрашиваемого хоста из локального DNS-кеша.
- Хост элемента локального DNS-кеша.
- Доменное имя элемента локального DNS-кеша.
- IP-адрес элемента ARP-кеша в формате IPv4.
- Физический адрес элемента APR-кеша.
- Имя учетной записи пользователя, запустившего сервис операционной системы.
- Параметры, с которыми запущен сервис операционной системы.
- Исходное имя файла (OriginalFileName) для ресурса RT_VERSION.
