Просмотр информации о событии

Чтобы просмотреть информацию о событии:

1. В окне веб-интерфейса решения выберите раздел События.
2. Выполните поиск событий с помощью конструктора запросов или введя запрос в строке поиска.

   Отобразится таблица событий.

3. Выберите событие, информацию о котором вы хотите просмотреть.

Откроется окно с информацией о событии.

В правой части окна отображается область деталей Информация о событии со списком параметров события и их значений. В этой области деталей можно:

• Включить выбранное поле в поиск или исключить его из поиска, нажав на и рядом со значением параметра.
• По хешу файла в поле FileHash раскрыть список, в котором вы можете выбрать одно из следующих действий:
  • Показать информацию из Threat Lookup.

    Доступно при интеграции с Kaspersky Threat Intelligence Portal.

  • Добавить в Internal TI CyberTrace.

    Доступно при интеграции с Kaspersky CyberTrace.

• Открыть окно со сведениями об активе, если он упоминается в полях события и зарегистрирован в решении.
• По ссылке с именем коллектора в поле Service просмотреть параметры сервиса, зарегистрировавшего событие.

  Вы также можете привязать событие к алерту, если решение находится в режиме расследования алерта, и открыть окно Информация о корреляционном событии, если выбранное событие является корреляционным.

• Просмотреть все непустые поля события, нажав Посмотреть все поля события. При этом должны выполняться следующие условия:
  • Запрос выполнен по набору полей, а не SELECT *.
  • Показаны не все непустые поля. Если в карточке события показаны все непустые поля, кнопка Посмотреть все поля события отображаться не будет.
  • Карточка события открыта в KUMA в разделе События.

  При этом исходный запрос не меняется и таблица событий не перестраивается.

  Отображение события с заполненными полями Message, SourceAddress, DeviceCustomString1

  Предварительное условие: отправлено событие с несколькими заполненными полями, например Message, SourceAddress, DeviceCustomString1.

  Выполнен запрос по набору полей:

  SELECT Type, Message

  FROM `events`

  ORDER BY Timestamp

  DESC LIMIT 250

  При нажатии на событие в открывшемся окне Информация о событии отображаются следующие данные:

  • Поля Type и Message из запроса.
  • Поля по умолчанию, не указанные в запросе, TenantID и Timestamp.

  Не отображаются заполненные поля SourceAddress и DeviceCustomString1, которые отсутствуют в запросе и при этом есть в отправленном событии.

  Чтобы просмотреть все непустые поля,

  нажмите Посмотреть все поля события.

  Отобразятся все заполненные поля события: Type, Message, TenantID, Timestamp, SourceAddress, DeviceCustomString1.

• Включить или отключить компактное отображение полей *Label, нажав на значок шестеренки и установив переключатель в нужное положение. По умолчанию переключатель установлен в положение Развернутый вид. При выборе положения Компактный вид для полей DeviceCustom* и Flex* значение соответствующего поля *Label отображается как алиас поля, а исходное имя поля отображается под его значением. Если значение поля *Label отсутствует, отображается исходное имя поля. Выбранный режим отображения сохраняется после обновления страницы и выхода из раздела События.
• Изменить отображение события по кнопке Форматировать. По умолчанию событие отображается в виде однострочной записи в формате XML или JSON. При нажатии на кнопку оно отображается в виде многострочной записи с отступами. Повторное нажатие возвращает однострочный формат отображения. Форматирование применяется ко всем событиям в таблице в разделе События.

В области деталей Информация о событии в качестве значений перечисленных ниже параметров вместо идентификатора показывается название описываемого объекта. При этом, если изменить фильтрацию событий по этому параметру (например, нажать на значок , чтобы исключить из результатов поиска события с определенной комбинацией параметр-значение), в SQL-запрос будет добавлен идентификатор объекта, а не его название:

• TenantID
• ServiceID
• DeviceAssetID
• SourceAssetID
• DestinationAssetID
• SourceAccountID
• DestinationAccountID