Просмотр событий

События, возникающие в работе приложения Kaspersky Industrial CyberSecurity for Linux Nodes, по уровню важности делятся на следующие типы:

• Критические события – события, представляющие серьезную угрозу безопасности устройства (обнаружение вредоносных объектов, уязвимостей, проблем в работе приложения). Критические события требуют вашего немедленного внимания. Рекомендуется не выключать уведомления о возникновении критических событий.
• Отказы функционирования – события, возникающие при сбое в работе приложения (ошибка обработки, ошибка в настройках задачи). Такие события не представляют прямую угрозу безопасности устройства, однако требуют ваших действий для корректной работы приложения.
• Предупреждения – события, которые не требуют ваших немедленных действий, но в дальнейшем могут представлять угрозу для безопасности устройства.
• Информационные сообщения – события, носящие информационный характер.

Просмотр событий в Kaspersky Security Center

Список всех событий в работе приложения Kaspersky Industrial CyberSecurity for Linux Nodes отображается в Web Console и в Консоли администрирования.

Вы можете настроить уведомления о событиях. С помощью уведомлений вы можете своевременно получать информацию о событиях в работе приложения. Вы можете настроить выполнение скрипта при получении события из приложения или получение уведомлений о событиях по электронной почте.

Подробнее о работе с событиями в Kaspersky Security Center см. в справке Kaspersky Security Center.

Просмотр текущих событий в командной строке

С помощью командной строки вы можете выводить в консоль информацию обо всех текущих событиях приложения или о событиях, связанных с указанной задачей. С помощью фильтра вы также можете выводить определенные текущие события, например, события указанного типа.

Вывести в консоль информацию обо всех текущих событиях приложения

kics-control -W

Команда возвращает название события и дополнительную информацию о событии.

Запустить задачу и выводить в консоль информацию о связанных с ней текущих событиях

kics-control --start-task <task ID|name> -W

где <task ID|name> – идентификатор, присвоенный задаче в момент создания, или имя задачи в командной строке.

Команда запускает задачу с указанным идентификатором или названием и включает вывод связанных с ней текущих событий. Вывод событий осуществляется по мере их генерации этой задачей.

Пример запуска задачи с ID=1 с включением вывода ее событий

kics-control --start-task 1 -W

Вывести в консоль информацию о текущих событиях, соответствующих условиям фильтра

kics-control -W --query "<filter conditions>"

где <filter conditions> – одно или несколько логических выражений в формате <field> <comparison operation> '<value>', скомбинированных с помощью логического оператора and.

Пример вывода событий TaskStateChanged

kics-control -W --query "EventType == 'TaskStateChanged'"

Пример вывода событий TaskSettingsChanged, инициированных пользователем User

kics-control -W --query "EventType == 'TaskSettingsChanged' and Initiator == 'User'"

Вывод событий из журнала событий приложения

Вы можете выводить в консоль или в файл информацию о событиях из журнала событий приложения с помощью командной строки. Для вывода определенных событий используйте фильтр.

Вывести в консоль информацию обо всех событиях в журнале событий приложения

kics-control -E --query [--db <database file>]

где <database file> – полный путь к файлу базы данных журнала событий, из которого вы хотите вывести события.

По умолчанию приложение сохраняет информацию о событиях в базе данных /var/opt/kaspersky/kics/private/storage/events.db. Расположение базы данных определяется общим параметром приложения EventsStoragePath.

Если журнал событий расположен в базе данных по умолчанию, для вывода событий в консоль используйте команду:

kics-control -E

Вы можете использовать утилиту less, чтобы перемещаться по списку отображаемых событий. По умолчанию в приложении хранится до 500 000 событий. Максимальное количество событий, которые хранит приложение, определяется общим параметром приложения MaxEventsNumber.

Вывести в консоль информацию о событиях в журнале событий приложения, соответствующих определенным условиям

kics-control -E --query "<filter conditions>" [--db <database file>] [-n <number>] [--json] [--reverse]

где:

• <filter conditions> – одно или несколько логических выражений в формате <field> <comparison operator> '<value>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса.
• <number> – количество последних событий из выборки (то есть количество записей от конца выборки), которые нужно вывести.
• --json – выводить события в формате JSON.
• --reverse – выводить события в обратном порядке (от самого нового события наверху к более старым внизу).

Вывести в файл информацию обо всех событиях в журнале событий приложения

kics-control -E --query "<>" [--db <database file>] [-n <number>] --file <path to file> [--json]

где --file <path to file> – полный путь к файлу, в который вы хотите вывести события.