Соберите и отправьте специалисту технической поддержки диагностические данные:

• Подробное описание проблемы.
• Журнал установки. Вы можете найти его в /<директория с дистрибутивом>/log/.
• Файл инвентаря для распределенной схемы установки или установки на одном сервере.
• Отчет скрипта collect.sh с серверов.

Соберите и отправьте специалисту технической поддержки диагностические данные:

• Подробное описание проблемы и действий, которые привели к возникновению проблемы. Дополнительно опишите работу с виртуализацией и инфраструктуру, в которой задействованы серверы с KUMA.
• Файл инвентаря для распределенной схемы установки или установки на одном сервере.
• Отчет скрипта collect.sh с сервера, на котором возникла проблема в работе сервиса.
• Идентификатор сервиса, в работе которого возникла проблема.

Соберите диагностические данные по инструкции:

1. Перейдите в раздел Параметры → Другое → Общее.
2. Включите Режим отладки в блоке Параметры ядра.
3. Воспроизведите проблему.
4. Соберите HAR-логи браузера по инструкции.
5. Сделайте снимок экрана, на котором видна проблема.
6. Соберите отчет скрипта collect.sh с сервера, на котором установлено ядро KUMA.
7. Отключите Режим отладки в блоке Параметры ядра.

Отправьте специалисту технической поддержки полученные данные:

• Подробное описание проблемы.
• HAR-логи браузера.
• Отчет скрипта collect.sh.
• Снимок экрана.

Соберите диагностические данные по инструкции:

1. Перейдите в веб-интерфейсе KUMA в раздел Ресурсы → Активные сервисы и найдите проблемный коллектор.
2. Скопируйте и сохраните идентификаторы коллектора и агента по инструкции.
3. Включите режим отладки:
   1. Откройте проблемный коллектор для редактирования.
   2. Перейдите в раздел Подключение источников и включите Режим отладки.
   3. Перейдите в раздел Транспорт на вкладку Дополнительные параметры и включите Режим отладки.
   4. Перейдите в раздел Парсинг событий на вкладку Схемы парсинга и откройте настройку параметров нормализатора.
   5. Выберите значение Всегда в параметре Сохранить исходное событие.
   6. Вернитесь в раздел Ресурсы → Активные сервисы.
   7. Откройте проблемный агент для редактирования.
   8. Перейдите на вкладку Основные параметры и включите Режим отладки.
   9. Перейдите на вкладку Дополнительные параметры и включите Режим отладки.
   10. Вернитесь в раздел Ресурсы → Активные сервисы.
   11. Выберите проблемный агент и нажмите Обновить параметры.
   12. Подождите, пока параметры обновятся, затем нажмите Перезапустить.
   13. Вернитесь в раздел Ресурсы → Активные сервисы.
   14. Выберите проблемный коллектор и нажмите Обновить параметры.
   15. Подождите, пока параметры обновятся, затем нажмите Перезапустить.
4. Включите сбор сетевого трафика:
   1. Подключитесь к серверу, где установлен проблемный коллектор.
   2. Включите сбор сетевого трафика со всех сетевых интерфейсов. Для этого используйте команду:
      tcpdump -i any -w /tmp/<название коллектора>.pcap port <номер порта, через который данные доставляются в коллектор>
   3. Подключитесь к серверу, где установлен проблемный агент.
   4. Включите сбор сетевого трафика со всех сетевых интерфейсов. Для этого:
      • На устройствах под управлением ОС Linux используйте команду:
        tcpdump -i any -w /tmp/<название агента>.pcap port <номер порта, через который данные доставляются в агент>
      • На устройствах под управлением ОС Windows воспользуйтесь инструкцией.
5. Воспроизведите проблему при сборе событий.
6. Соберите отчет скрипта collect.sh с сервера, на котором установлен проблемный коллектор.
7. Соберите журнал работы проблемного агента. Вы можете найти файлы журнала:
   • На устройствах под управлением ОС Linux в директории /opt/kaspersky/kuma/agent.
   • На устройствах под управлением ОС Windows в папке C:\Program Files\Kaspersky Lab\KUMA\Agents\Logs.
8. Выключите сбор сетевого трафика коллектора и агента. Для этого используйте сочетание клавиш Ctrl + C.
9. Отключите Режим отладки везде, где ранее его включали.
10. Повторно обновите параметры коллектора и агента.
11. Подождите, пока параметры обновятся, затем повторно перезапустите коллектор и агент.
12. Скачайте отчет в формате .tsv, который содержит исходные события, полученные за время работы режима отладки. Вы можете установить период отображения событий на странице События. Убедитесь, что в фильтрах включено отображение исходных событий.
13. Откройте два проблемных события в веб-интерфейсе KUMA и сделайте снимки экрана, на которых видны все поля.
14. Выполните экспорт ресурсов для коллектора и агента по инструкции.
15. Сохраните пример исходного необработанного события в формате .txt.

Отправьте специалисту технической поддержки полученные данные:

• Подробное описание проблемы.
• Отчет скрипта collect.sh с сервера, на котором установлен проблемный коллектор.
• Журнал работы проблемного агента.
• Журналы сетевого трафика коллектора и агента.
• Файл экспорта ресурсов для коллектора и агента.
• Снимки экрана с проблемными событиями.
• Отчет с исходными событиями в формате .tsv.
• Идентификаторы коллектора и агента.
• Пример исходного необработанного события в формате .txt.

Соберите диагностические данные по инструкции:

1. Перейдите в веб-интерфейсе KUMA в раздел Ресурсы → Активные сервисы и найдите проблемный коллектор.
2. Скопируйте и сохраните идентификаторы коллектора и агента по инструкции.
3. Включите режим отладки:
   1. Откройте проблемный коллектор для редактирования.
   2. Перейдите в раздел Подключение источников и включите Режим отладки.
   3. Перейдите в раздел Транспорт на вкладку Дополнительные параметры и включите Режим отладки.
   4. Перейдите в раздел Парсинг событий на вкладку Схемы парсинга и откройте настройку параметров нормализатора.
   5. Выберите значение Всегда в параметре Сохранить исходное событие.
   6. Вернитесь в раздел Ресурсы → Активные сервисы.
   7. Выберите проблемный коллектор и нажмите Обновить параметры.
   8. Подождите, пока параметры обновятся, затем нажмите Перезапустить.
4. Подключитесь к серверу, где установлен проблемный коллектор.
5. Включите сбор сетевого трафика со всех сетевых интерфейсов. Для этого используйте команду:
   tcpdump -i any -w /tmp/<название коллектора>.pcap port <номер порта, через который данные доставляются в коллектор>
6. Воспроизведите проблему при сборе событий.
7. Соберите отчет скрипта collect.sh с сервера, на котором установлен проблемный коллектор.
8. Выключите сбор сетевого трафика коллектора. Для этого используйте сочетание клавиш Ctrl + C.
9. Отключите Режим отладки везде, где ранее его включали.
10. Повторно обновите параметры коллектора.
11. Подождите, пока параметры обновятся, затем повторно перезапустите коллектор.
12. Скачайте отчет в формате .tsv, который содержит исходные события, полученные за время работы режима отладки. Вы можете установить период отображения событий на странице События. Убедитесь, что в фильтрах включено отображение исходных событий.
13. Откройте два проблемных события в веб-интерфейсе KUMA и сделайте снимки экрана, на которых видны все поля.
14. Выполните экспорт ресурсов для коллектора по инструкции.
15. Сохраните пример исходного необработанного события в формате .txt.

Отправьте специалисту технической поддержки полученные данные:

• Подробное описание проблемы.
• Отчет скрипта collect.sh с сервера, на котором установлен проблемный коллектор.
• Журнал сетевого трафика коллектора.
• Файл экспорта ресурсов для коллектора.
• Снимки экрана с проблемными событиями.
• Отчет с исходными событиями в формате .tsv.
• Идентификатор коллектора.
• Пример исходного необработанного события в формате .txt.

Соберите диагностические данные по инструкции:

1. Перейдите в веб-интерфейсе KUMA в раздел Ресурсы → Активные сервисы и найдите проблемный коррелятор.
2. Скопируйте и сохраните идентификаторы коррелятора и коллектора по инструкции.
3. Включите режим отладки:
   1. Откройте проблемный коррелятор для редактирования.
   2. Перейдите в раздел Основные параметры и включите Режим отладки.
   3. Перейдите в раздел Обогащение и включите Режим отладки для каждого правила.
   4. Перейдите в раздел Проверка параметров и нажмите Сохранить и перезапустить сервисы.
   5. Перейдите в раздел Параметры → Другое → Общее.
   6. Включите Режим отладки в блоке Параметры ядра.
   7. Вернитесь в раздел Ресурсы → Активные сервисы.
   8. Откройте для редактирования коллектор, который связан с проблемным коррелятором. Вы можете проверить связь коллектора с коррелятором в разделе Транспорт.
   9. Перейдите в раздел Подключение источников событий и включите Режим отладки.
   10. Перейдите в раздел Транспорт на вкладку Дополнительные параметры и включите Режим отладки.
   11. Перейдите в раздел Парсинг событий на вкладку Схемы парсинга и откройте настройку параметров нормализатора.
   12. Выберите значение Всегда в параметре Сохранить исходное событие.
   13. Перейдите в раздел Маршрутизация и откройте настройку параметров коррелятора.
   14. Выберите вкладку Дополнительные параметры и включите Режим отладки.
   15. Перейдите в раздел Проверка параметров и нажмите Сохранить и перезапустить сервисы.
4. Подождите 15 минут.
5. Соберите отчеты скрипта collect.sh с серверов, на которых установлены проблемный коррелятор, коллектор и ядро KUMA.
6. Отключите Режим отладки везде, где ранее его включали.
7. Повторно обновите параметры коррелятора и коллектора.
8. Подождите, пока параметры обновятся, затем повторно перезапустите коррелятор и коллектор.
9. Скачайте отчет в формате .tsv, который содержит исходные события, полученные за время работы режима отладки. Вы можете установить период отображения событий на странице События. Убедитесь, что в фильтрах включено отображение исходных событий.
10. Откройте проблемное событие коррелятора в веб-интерфейсе KUMA и сделайте снимки экрана, на которых видны все поля.
11. Если появился алерт от коррелятора: запишите время его появления и сделайте снимок экрана.
12. Выполните экспорт ресурсов для коррелятора и коллектора по инструкции.

Отправьте специалисту технической поддержки полученные данные:

• Подробное описание проблемы.
• Отчеты скрипта collect.sh с серверов, на которых установлены проблемный коррелятор, коллектор и ядро KUMA.
• Идентификаторы коррелятора и коллектора.
• Файл экспорта ресурсов для коррелятора и коллектора.
• Снимки экрана с проблемным событием коррелятора.
• Отчет с исходными событиями в формате .tsv.
• Если появился алерт от коррелятора: снимок экрана с алертом и время его появления.