Поиск событий в режиме конструктора

Один поисковый запрос может содержать до 25 условий. Большее количество условий в одном запросе не поддерживается.

Чтобы задать условия поиска событий в режиме конструктора:

1. В окне веб-интерфейса приложения выберите раздел Поиск угроз, закладку Конструктор.

   Откроется форма поиска событий.

2. В раскрывающемся списке выберите критерий для поиска событий.

   Вы можете посмотреть описание критериев для поиска событий в разделе Критерии для поиска событий.

3. В раскрывающемся списке выберите оператор.

   Вы можете посмотреть список доступных операторов в разделе Операторы.

   Для каждого типа значения поля будет доступен свой релевантный набор операторов. Например, при выборе типа значения поля EventType будут доступны операторы = и !=.

4. В зависимости от выбранного типа значения поля выполните одно из следующих действий:
   • Укажите в поле один или несколько символов, по которым вы хотите выполнить поиск событий.
   • В раскрывающемся списке выберите вариант значения поля, по которому вы хотите выполнить поиск событий.

   Например, для поиска полного совпадения по имени пользователя введите имя пользователя.

5. Если вы хотите добавить новое условие, используйте логический оператор AND или OR и повторите действия по добавлению условия.
6. Если вы хотите добавить группу условий, нажмите на кнопку Group и повторите действия по добавлению условий.
7. Если вы хотите удалить группу условий, нажмите на кнопку Remove group.
8. Если вы хотите выполнить поиск событий за определенный период, в раскрывающемся списке Прошедшие сутки выберите один из следующих периодов поиска событий:
   • Прошедшие сутки, если вы хотите, чтобы приложение отображало в таблице события, найденные за предыдущий день.
   • Прошедший час, если вы хотите, чтобы приложение отображало в таблице события, найденные за предыдущий час.
   • Прошедшая неделя, если вы хотите, чтобы приложение отображало в таблице события, найденные за предыдущую неделю.
   • Пользовательский диапазон, если вы хотите, чтобы приложение отображало в таблице события, найденные за указанный вами период.
9. Если вы выбрали Пользовательский диапазон, выполните следующие действия:
   1. В открывшемся календаре укажите даты начала и конца периода отображения событий.
   2. Нажмите на кнопку Применить.

   Календарь закроется.

10. Нажмите на кнопку Найти.

    Отобразится таблица событий, соответствующих условиям поиска.

    Если вы используете режим распределенного решения и мультитенантности, отобразятся уровни группировки найденных событий: Сервер – Названия тенантов – Имена серверов.

    

    Режим работы, при котором Kaspersky Anti Targeted Attack Platform используется для защиты инфраструктуры нескольких организаций или филиалов одной организации одновременно.

    

    Двухуровневая иерархия серверов с установленными компонентами Central Node, в которой выделяется главный сервер управления – Primary Central Node (PCN) и подчиненные серверы – Secondary Central Node (SCN).

11. Нажмите на имя того сервера, события которого вы хотите просмотреть.

Отобразится таблица хостов выбранного сервера. Уровни группировки событий отобразятся над таблицей.

Вы можете конвертировать запрос, созданный в конструкторе, в запрос для поиска событий в режиме исходного кода.