Фильтрация событий для отправки в SIEM

05 июня 2026

ID 308158

Для повышения производительности и оптимизации отправки данных на сервер SIEM вы можете вручную добавить или исключить отдельные события из телеметрии. Например, вы можете отменить отправку событий Sysmon.

Kaspersky Industrial CyberSecurity for Nodes поддерживает суммарно не более 1500 включающих и исключающих правил фильтрации событий телеметрии.

Как сформировать список событий для отправки в SIEM в Консоли администрирования Kaspersky Security Center

В дереве Консоли администрирования Kaspersky Security Center выберите папку Политики.
Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
В открывшемся окне свойств политики перейдите в раздел Дополнительные возможности.
В блоке Телеметрия SIEM нажмите на кнопку Настройка.
В открывшемся окне настройте фильтр событий для отправки в SIEM.
Вы можете настроить фильтр событий для стандартных журналов Application, Security, System или добавить другой журнал вручную.
1. Нажмите на кнопку Добавить или откройте свойства журнала кнопкой Изменить.
2. Выберите режим отправки событий:
  - Отправлять все события. В этом режиме приложение отправляет все события журнала Windows кроме событий, добавленных в правила исключения.
  - Отправлять только выбранные события. В этом режиме приложение отправляет только события, добавленные в правила включения.
3. Сформируйте списки правил исключения или правил включения для соответствующего режима отправки событий.
  Для добавления правил необходимо указать идентификатор события в журнале событий Windows. Вы можете перечислить несколько идентификаторов событий в одном правиле. Для указания нескольких идентификаторов событий используйте символ ,.
Сохраните внесенные изменения. Для применения политики на компьютерах, закройте замки .

Как сформировать список событий для отправки в SIEM в Web Console

В главном окне Web Console выберите Активы (Устройства) → Политики и профили политик.
Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.
Откроется окно свойств политики.
Выберите вкладку Параметры приложения.
Выберите раздел Дополнительные возможности.
В блоке Настройки телеметрии нажмите на кнопку Настроить.
Откроется окно Настройки телеметрии.
Перейдите на вкладку Телеметрия SIEM.
Настройте фильтр событий для отправки в SIEM.
Вы можете настроить фильтр событий для стандартных журналов Application, Security, System:
1. Нажмите на название журнала, для которого вы хотите настроить правила.
2. В открывшемся окне выберите режим отправки событий:
  - Отправлять все события. В этом режиме приложение отправляет все события журнала Windows кроме событий, добавленных в правила исключения.
  - Отправлять только выбранные события. В этом режиме приложение отправляет только события, добавленные в правила включения.
3. Сформируйте списки правил исключения или правил включения для соответствующего режима отправки событий.
  Для добавления правил необходимо указать имя правила и идентификатор события в журнале событий Windows. Вы можете перечислить несколько идентификаторов событий в одном правиле. Для указания нескольких идентификаторов событий используйте символ ,. При необходимости вы можете добавить описание правила.
Сохраните внесенные изменения. Для применения политики на компьютерах, закройте замки .

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!