Мониторинг изменений политики и профилей политик

При изменении параметра политики генерируется событие изменения политики, которое затем можно экспортировать в SIEM-систему для отслеживания изменений политики и создания алертов. Доступ к событиям изменения политик возможен только через SIEM-систему.

События изменения политик не сохраняются в базе данных Сервера администрирования после генерации и не могут быть просмотрены в OSMP Console в разделе Мониторинг → Выборки событий. Вы также не можете указать параметры уведомлений и параметры хранилища для этих событий на вкладке Настройка событий.

При создании политики событие изменения политики генерируется для каждого параметра политики. При изменении политики событие изменения политики создается для каждого измененного параметра политики. При удалении политики генерируется одно событие. Например, создание политики Kaspersky Security Center сгенерирует около 1000 событий, а создание политики Kaspersky Endpoint Security сгенерирует более 7000 событий.

Условия для генерации событий изменения политик

События изменения политик создаются, когда пользователь совершает с политикой или профилем политики любое из следующих действий:

• Создание, изменение или удаление политики.
• Создание, изменение или удаление профиля политики.
• Откат политики к выбранной ревизии.
• Импорт или копирование политики.
• Импорт или копирование профиля политики.
• Перемещение политики в другую группу администрирования.

События изменения политик генерируются при выполнении следующих условий:

• Изменены политики следующих приложений:
  • Агент администрирования Kaspersky Security Center.
  • Сервер администрирования Kaspersky Security Center.
  • Kaspersky Endpoint Security for Windows 14.1 или более поздней версии.
  • Kaspersky Endpoint Security for Linux 12.5 или более поздней версии.
  • Kaspersky Endpoint Security for Linux 12.4 или более поздней версии.
  • Kaspersky Endpoint Security for Mac 12.2.1 или более поздней версии.
• В свойствах Сервера администрирования включен параметр Экспорт расширенных событий для изменений политики в SIEM.
• Изменение политики осуществляется вручную через OSMP Console.

События изменения политик не создаются в следующих случаях:

• Изменены общие параметры политики.
• Изменены параметры политики, унаследованные от родительской политики.
• Параметры политики изменены через Kaspersky Security Center OpenAPI.
• Параметры приложения "Лаборатории Касперского" изменены в самом приложении.

Поля событий изменения политики

В таблице ниже показан набор полей события изменения политики. Представление этих полей зависит от формата событий (например, syslog, CEF или LEEF). Точные имена полей и шаблоны событий см. в файле siem_conversion_rules.xml. Параметры события доступны только на английском языке.