Поиск событий в режиме исходного кода

Один поисковый запрос может содержать до 25 условий. Большее количество условий в одном запросе не поддерживается.

Чтобы задать условия поиска событий в режиме исходного кода:

1. В окне веб-интерфейса приложения выберите раздел Поиск угроз, вкладку Редактор кода.

   Откроется форма с полем ввода условий поиска событий в режиме исходного кода.

2. Введите условия поиска событий, используя критерии, операторы, логические операторы OR и AND, а также скобки для создания групп условий.

   Условие поиска должно соответствовать следующему синтаксису: <критерий> <оператор> <значение критерия>.

   Пример: EventType == 'filechange' AND ( ( FileName == '*example*' OR DllName == '*example*' OR DroppedName == '*example*' OR BlockedName == '*example*' OR InterpretedFileName == '*example*' OR InterpretedFiles.FileName == '*example*' OR TargetName == '*example*' OR HandleSourceName == '*example*' OR HandleTargetName == '*example*' ) OR UserName == '*example*' )

   Вы можете использовать функцию автозаполнения. Для этого установите курсор в строке запроса и нажмите комбинацию клавиш Ctrl+Space.

3. Если вы хотите выполнить поиск событий за определенный период, нажмите на кнопку За все время и выберите один из следующих периодов поиска событий:
   • За все время, если вы хотите, чтобы приложение отображало в таблице события, найденные за все время.
   • Прошедший час, если вы хотите, чтобы приложение отображало в таблице события, найденные за предыдущий час.
   • Прошедшие сутки, если вы хотите, чтобы приложение отображало в таблице события, найденные за предыдущий день.
   • Пользовательский диапазон, если вы хотите, чтобы приложение отображало в таблице события, найденные за указанный вами период.
4. Если вы выбрали Пользовательский диапазон, выполните следующие действия:
   1. В открывшемся календаре укажите даты начала и конца периода отображения событий.
   2. Нажмите на кнопку Применить.

   Календарь закроется.

5. Нажмите на кнопку Найти.

   Отобразится таблица событий, соответствующих условиям поиска.

   Если вы используете режим распределенного решения и мультитенантности, отобразятся уровни группировки найденных событий: Сервер – Названия тенантов – Имена серверов.

   

   Режим работы, при котором Kaspersky Anti Targeted Attack Platform используется для защиты инфраструктуры нескольких организаций или филиалов одной организации одновременно.

   

   Двухуровневая иерархия серверов с установленными компонентами Central Node, в которой выделяется главный сервер управления – Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).

6. Нажмите на имя того сервера, события по которому вы хотите просмотреть.

   Отобразится таблица хостов выбранного сервера. Уровни группировки событий отобразятся над таблицей.