Просмотр событий аудита и настройка уведомлений

Аудит – это процесс мониторинга, регистрации и анализа действий пользователей и системных операций, направленных на обеспечение безопасности и контроль изменений.

Kaspersky EDR Expert получает события аудита от компонентов решения автоматически, дополнительная настройка не требуется. Во время развертывания решения Kaspersky EDR Expert создает предустановленный коллектор [OOTB] Kaspersky OSMP в корневом тенанте. У этого коллектора есть предустановленный коннектор [OOTB] Kaspersky OSMP и предустановленный нормализатор [OOTB] Kaspersky OSMP audit. Коллектор отправляет события аудита в пространство хранилища KUMA Audit. Это пространство хранилище создается автоматически.

Kaspersky EDR Expert получает события аудита только в том случае, если вы указали действительный лицензионный ключ для SIEM-компонента в параметре license во время развертывания на одном узле, развертывания на нескольких узлах или в интерфейсе решения.

При необходимости вы можете настроить параметры хранилища для событий аудита, если создаете набор ресурсов для хранилища.

Подробная информация о параметрах и типах действий аудита приведена в статье События аудита.

Как просмотреть и экспортировать события аудита в файл

События аудита доступны в разделе Мониторинг → Поиск угроз.

Если вы хотите, чтобы в таблице событий отображались только события аудита, выполните одно из следующих действий:

• В таблице событий в поле EventType установите значение Audit.
• Разграничьте доступ к пространству с помощью событий аудита.

  Для этого перейдите в раздел Параметры → KUMA → Открыть параметры KUMA → Доступ к пространствам и настройте права доступа к пространству KUMA Audit. Только пользователи, которым предоставлены права доступа к пространству, смогут просматривать события аудита в разделе Поиск угроз.

После фильтрации событий аудита в таблице вы можете экспортировать события в файл.

Как настроить уведомление по электронной почте о событиях аудита

Как только происходит событие, например, пользователь выполняет более пяти неудачных попыток входа в Консоль OSMP, срабатывает предопределенное правило корреляции и создается алерт.

Если вы хотите получать уведомления об алертах по электронной почте, вам нужно создать шаблон уведомления. В панели Создать шаблон электронной почты укажите следующие параметры:

• В раскрывающемся списке Тип события выберите тип шаблона уведомления Создание алерта.
• В раскрывающемся списке Правила корреляции выберите предустановленное правило корреляции.