Мониторинг изменений политики и профилей политик

При изменении параметра политики генерируется событие изменения политики, которое затем можно экспортировать в SIEM-систему для отслеживания изменений политики и создания алертов. Доступ к событиям изменения политик возможен только через SIEM-систему.

События изменения политик не сохраняются в базе данных Сервера администрирования после генерации и не могут быть просмотрены в Kaspersky Security Center Web Console в разделе Мониторинг → Выборки событий. Вы также не можете указать параметры уведомлений и параметры хранилища для этих событий на вкладке Настройка событий.

При создании политики событие изменения политики создается для каждого параметра политики. При изменении политики событие изменения политики создается для каждого измененного параметра политики. При удалении политики генерируется одно событие. Например, создание политики Kaspersky Security Center сгенерирует около 1000 событий, а создание политики Kaspersky Endpoint Security сгенерирует более 7000 событий.

Условия для генерации событий изменения политик

События изменения политик создаются в следующих случаях:

• При создании, изменении или удалении политик следующих приложений:
  • Агент администрирования Kaspersky Security Center.
  • Сервер администрирования Kaspersky Security Center.
  • Kaspersky Endpoint Security для Windows 14.1.
  • Kaspersky Endpoint Security для Linux 12.5.
  • Kaspersky Endpoint Security для Linux 12.4.
  • Kaspersky Endpoint Security для Mac 12.2.1.
• В свойствах сервера администрирования включен параметр Экспорт расширенных событий для изменений политики в SIEM.
• Изменение политики осуществляется вручную с помощью интерфейса Kaspersky Security Center Web Console.

События изменения политик не создаются в следующих случаях:

• Изменены общие параметры политики.
• Изменены параметры политики, унаследованные от родительской политики.
• Изменение параметров политики было выполнено через Kaspersky Security Center OpenAPI.
• Параметры приложения "Лаборатории Касперского" изменены в самом приложению.

Поля событий изменения политики

В таблице ниже показан набор полей события изменения политики. Представление этих полей зависит от формата событий (например, syslog, CEF или LEEF). Точные имена полей и шаблоны событий см. в файле siem_conversion_rules.xml. Параметры события доступны только на английском языке.