Фильтрация событий для отправки в SIEM

06 октября 2026

ID 308158

Для повышения производительности и оптимизации отправки данных на сервер SIEM вы можете вручную добавить или исключить отдельные события Журнала событий Windows из телеметрии. Например, вы можете отменить отправку событий Sysmon.

Для корректной работы компонента Интеграция с SIEM вам необходимо включить отправку требуемых событий. По умолчанию отправка всех событий выключена.

Kaspersky Industrial CyberSecurity for Nodes поддерживает суммарно не более 1500 включающих и исключающих правил фильтрации событий WEL для телеметрии SIEM.

Как сформировать список событий для отправки в SIEM в Консоли администрирования Kaspersky Security Center

В дереве Консоли администрирования Kaspersky Security Center выберите папку Политики.
Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
В открывшемся окне свойств политики перейдите в раздел Дополнительные возможности.
В блоке Настройки телеметрии SIEM нажмите на кнопку Настройка.
В открывшемся окне настройте фильтр событий для отправки в SIEM.
Вы можете настроить фильтрацию событий для стандартных журналов Application, Security, System или добавить другой журнал вручную:
1. Откройте свойства журнала или нажмите на кнопку Добавить и введите название журнала.
2. Выберите режим отправки событий:
  - Отправлять все события. В этом режиме приложение отправляет все события журнала Windows кроме событий, добавленных в правила исключения.
  - Отправлять только выбранные события. В этом режиме приложение отправляет только события, добавленные в правила включения.
3. Сформируйте списки правил исключения или правил включения для соответствующего режима отправки событий.
  Для добавления правил необходимо указать идентификатор события в журнале событий Windows. Вы можете перечислить несколько идентификаторов событий в одном правиле. Для указания нескольких идентификаторов событий используйте символ ,.
4. При необходимости включите отправку событий из журнала с помощью флажка рядом с названием журнала.
Сохраните внесенные изменения. Для применения политики на компьютерах, закройте замки .

Как сформировать список событий для отправки в SIEM в Web Console

В главном окне Web Console выберите Управление активами → Политики.
Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.
Откроется окно свойств политики.
Выберите вкладку Параметры приложения.
Выберите раздел Дополнительные возможности.
В блоке Настройки телеметрии нажмите на кнопку Настроить.
Откроется окно Настройки телеметрии.
Перейдите на вкладку Телеметрия SIEM.
Настройте фильтр событий для отправки в SIEM.
Вы можете настроить фильтрацию событий для стандартных журналов Application, Security, System или добавить другой журнал вручную:
1. Откройте свойства журнала или нажмите на кнопку Добавить и введите название журнала.
2. Выберите режим отправки событий:
  - Отправлять все события. В этом режиме приложение отправляет все события журнала Windows кроме событий, добавленных в правила исключения.
  - Отправлять только выбранные события. В этом режиме приложение отправляет только события, добавленные в правила включения.
3. Сформируйте списки правил исключения или правил включения для соответствующего режима отправки событий.
  Для добавления правил необходимо указать идентификатор события в журнале событий Windows. Вы можете перечислить несколько идентификаторов событий в одном правиле. Для указания нескольких идентификаторов событий используйте символ ,.
4. При необходимости включите отправку событий из журнала с помощью переключателя рядом с названием журнала.
Сохраните внесенные изменения. Для применения политики на компьютерах, закройте замки .

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!