Данные в журналах и файлах трассировки

Kaspersky Anti Targeted Attack Platform ведет запись в журналы действий пользователей, а также различных действий компонентов программы. В журналы могут попадать все данные, отображаемые в информации об обнаружениях, политиках, событиях, задачах и результатах их выполнения.

Данные на сервере Central Node хранятся в открытом незашифрованном виде и ротируются при достижении максимально разрешенного размера файла. Данные в журналах хранятся за последние 7 дней и безвозвратно удаляются при удалении программы.

Администратору Kaspersky Anti Targeted Attack Platform необходимо обеспечить безопасность этих данных самостоятельно.

Kaspersky Anti Targeted Attack Platform записывает данные в следующие журналы:

1. Журнал истории обработки. Хранится в файле /var/log/kaspersky/apt-history/apt-history.log на серверах Central Node и Sensor. В журнал ведется запись этапов обработки объектов, фактов внесения изменений в параметры, информации о выполнении задач и запретов для последующего использования в разборе проблем и улучшения качества программы. Ниже перечислены данные, которые записываются в журнал истории обработки.
   1. Факт отправки файла на проверку:
      • MD5-хеш проверяемого файла.
      • Дата обработки файла.
      • Результат проверки.
      • Версия баз, с помощью которых проверялся файл.
      • Ядро, которое участвовало в проверке файла.
   2. Факт обработки файла или URL-адреса по белому списку:
      • Имя, тип, размер файла, путь к файлу, MD5-, SHA256-хеш файла, URL-адрес, с которого был скачан файл.
      • URL-адрес.
      • Правило белого списка.
      • IP-адрес и порт компьютера, который установил соединение (клиент).
      • IP-адрес и порт компьютера, с которым было установлено соединение (сервер).
      • Тип HTTP-запроса (GET, POST).
      • Дата и время запроса (с точностью до секунды).
      • User Agent (данные о браузере) клиента.
      • Referrer.
      • Тип DNS-сообщения (request, response).
      • Тип DNS-запроса (A, MX).
      • Дата и время DNS-сообщения (с точностью до секунды).
      • Список всех IP-серверов (для DNS-ответа A-записи).
      • Список всех доменных имен почтовых серверов, а также все IP-адреса, относящиеся к A-записи (для DNS-ответа MX записи).
      • Значение сработавшего правила белого списка: адрес электронной почты, IP-адрес, домен, тип файла, MD5-хеш файла.
   3. Факт обработки сообщения электронной почты по белому списку:
      • Информация о сообщении: адреса электронной почты отправителя и получателей сообщения.
      • Тема сообщения.
   4. Факт создания обнаружения:
      • Важность обнаружения.
      • Дата и время, когда обнаружено событие.
      • Модули и технологии, которыми проверялся файл.
      • Результаты проверки модулями и технологиями.
      • MD5-хеш проверенного файла.
      • Проверенный URL-адрес.
   5. Создание задач для компьютеров с компонентом Endpoint Sensors:
      • Идентификатор задачи, время создания, время ожидания (таймаут) выполнения задачи, тип задачи.
      • IP-адрес, имя хоста, которому назначена задача.
      • Имя, путь к запрашиваемому файлу, MD5-хеш запрашиваемого файла.
      • Приоритет выполнения задачи.
   6. Обработка результатов выполнения задач для компьютеров с компонентом Endpoint Sensors:
      • Путь временного файла пакета от компьютера с компонентом Endpoint Sensors, размер пакета.
      • Имя хоста и IP-адрес компьютера с компонентом Endpoint Sensors.
      • Версия отчета от компьютера с компонентом Endpoint Sensors.
      • Информация о результатах проверки файла.
      • Идентификатор процесса, количество областей памяти.
      • Признак успешной обработки задачи.
      • Описание ошибки, возникшей при обработке задач компьютера с компонентом Endpoint Sensors. В описании ошибки, помимо технической информации, могут содержаться следующие данные пользователя:
        • Пути к файлам, которые находятся на компьютере с компонентом Endpoint Sensors.
        • Сообщения электронной почты: тело сообщения, вложения, адреса электронной почты отправителя и получателей сообщения, IP-адрес отправителя сообщения, информация, содержащаяся в служебных заголовках сообщения, идентификатор сообщения электронной почты.
        • Содержимое файлов.
        • URL-адреса, извлеченные из сообщения электронной почты, с которых был скачан файл или по которым пользователь совершил переход.
        • Имя учетной записи пользователя, IP-адрес и имя компьютера пользователя.
        • MachineID компьютера пользователя.
        • UID компьютера пользователя в KSC.
        • Уникальный идентификатор компьютера от компонента Endpoint Sensors.
        • MAC-адрес компьютера пользователя.
   7. Работа с политиками:
      • Идентификатор запрета, дата и время внесения изменений в запрет.
      • MD5- или SHA256-хеш файла.
      • Уникальный идентификатор компьютера от компонента Endpoint Sensors.
      • Имя запрета.
      • MachineID хоста.
2. Журнал аудита. Хранится в файле /var/log/kaspersky/apt-audit.log на серверах Central Node и Sensor. В журнал ведется запись действий с учетными записями, параметрами, запись изменений статусов работоспособности компонентов программы для последующего использования в разборе проблем. Ниже перечислены данные, которые записываются в журнал аудита.
   1. Факт внесения изменений в белый список:
      • Имя учетной записи пользователя.
      • Значение элемента белого списка: MD5-хеш, формат, маска URL-адреса, подсеть, User Agent (данные о браузере), адрес электронной почты.
   2. Статусы компонентов программы:
      • Время, название компонента, IP-адрес, статус, описание ошибки.
      • Статус обновления баз.
   3. Действия с учетными записями пользователей:
      • Тип события (создание, изменение, удаление).
      • Дата и время.
      • Имя учетной записи пользователя.
      • IP-адрес компьютера пользователя.
      • Роль пользователя.
      • Статус пользователя (активный / работа пользователя приостановлена).
      • Имя учетной записи пользователя, внесшего изменения.
   4. Изменение записей группы VIP:
      • Тип события.
      • Дата и время.
      • Имя пользователя, создавшего или изменившего запись группы VIP.
      • IP-адрес, FQDN-имя компьютера, адрес электронной почты.
   5. Действия с обнаружениями:
      • Идентификатор обнаружения.
      • Имя учетной записи пользователя, выполнившего действие с обнаружением.
3. Системный журнал и файлы трассировки хранятся на серверах Central Node и Sensor. Системный журнал хранится в директории /var/log. Файлы трассировки хранятся в директории /var/log/kaspersky.

В файлах трассировки в открытом (незашифрованном) виде могут сохраняться те же данные, которые входят в состав данных об обнаружениях, политиках, событиях, задачах и результатах их выполнения. Вы можете настроить запись файлов трассировки в syslog (в режиме Technical Support Mode).

В системный журнал пишется общая информация о состоянии программы, а также возникших ошибках и исключениях в работе различных компонентов программы (в том числе стороннего производителя) и операционной системы.

Помимо данных об обнаружениях, политиках, событиях, задачах и результатах их выполнения, в файлах трассировки и в системных журналах могут содержаться следующие данные пользователя:

1. Пути к файлам, которые находятся на локальном компьютере.
2. Сообщения электронной почты: тело сообщения, вложения, адреса электронной почты отправителя и получателей сообщения, IP-адрес отправителя сообщения, информация, содержащаяся в служебных заголовках сообщения, идентификатор сообщения.
3. Содержимое файлов.
4. URL-адрес:
   • извлеченный из сообщения электронной почты;
   • с которого был скачан файл;
   • по которому пользователь совершил переход.
5. Имя учетной записи пользователя, IP-адрес и имя компьютера пользователя.
6. MachineID компьютера пользователя.
7. UID компьютера пользователя в KSC.
8. Уникальный идентификатор компьютера от компонента Endpoint Sensors.
9. MAC-адрес компьютера пользователя.