Коннектор, тип file

Название

Уникальное имя ресурса. Максимальная длина имени составляет до 128 символов в кодировке Unicode.

Обязательный параметр.

Тенант

Название тенанта, которому принадлежит ресурс.

Обязательный параметр.

Тип

Тип коннектора – file.

Обязательный параметр.

Теги

Теги для поиска ресурса.

Необязательный параметр.

Путь к файлу

Коннекторы с типом file используются для получения данных из текстовых файлов при работе с агентами Windows и Linux. Одна строка текстового файла считается одним событием. В качестве разделителя строк используется \n.

Полный путь к файлу, с которым коннектор выполняет взаимодействие. Поддерживаются форматы путей как для Linux, так и для Windows, например:

• для Windows: C:\var\log\test123.log
• для Linux: /var/log/test123.log

Недопустимо указывать пути, соответствующие следующим регулярным выражениям:

• (?i)^[a-zA-Z]:\\Program Files
• (?i)^[a-zA-Z]:\\Program Files\(x86\)
• (?i)^[a-zA-Z]:\\Windows
• (?i)^[a-zA-Z]:\\ProgramData\\Kaspersky Lab\\KUMA

В приведенных регулярных выражениях двойные обратные косые черты (\\) используются системой в качестве части синтаксиса регулярного выражения для проверки пути и не должны указываться в самом пути вручную.

Шаблоны масок для файлов и директорий

Ограничения при использовании префиксов к путям файлов

Ограничение количества отслеживаемых файлов по маске

Обязательный параметр.

Время ожидания изменений, сек

Время в секундах, в течение которого файл не должен обновляться, чтобы LogAnalyzer выполнила с ним действие, указанное в раскрывающемся списке Действие после таймаута. Значение по умолчанию: 0 – если файл не обновляется, LogAnalyzer не выполняет с ним никакого действия.

Введенное значение не должно быть меньше значения, которое вы ввели на вкладке Дополнительные параметры в поле Интервал запросов, мс.

Действие после таймаута

Действие, которое LogAnalyzer выполняет с файлом по прошествии времени, указанного в поле Время ожидания изменений, сек:

• Ничего не делать. Значение по умолчанию.
• Добавление суффикса – добавить к названию файла расширение .kuma_processed и не обрабатывать файл даже при его обновлении.
• Удаление – удалить файл.

Auditd

Переключатель, включающий механизм auditd, который группирует полученные от коннектора строки событий auditd в одно событие auditd.

Если вы включили этот переключатель, вы не можете выбрать значение в раскрывающемся списке Разделитель, так как для механизма auditd автоматически выбирается значение \n.

Если вы включили этот переключатель в параметрах коннектора агента, вам нужно выбрать значение \n в раскрывающемся списке Разделитель в параметрах коннектора коллектора, в который агент отправляет события.

Максимальный размер сгруппированного события auditd составляет примерно 4 174 304 символов.

LogAnalyzer классифицирует события Auditd в соответствии с алгоритмом. Например, для обработки получены следующие записи:

type=LOGIN msg=audit(1712820601.957:21458): pid=4987 uid=0 subj=0:63:0:0 old-auid=4294967295 auid=0 tty=(none) old-ses=4294967295 ses=2348 res=1

type=SYSCALL msg=audit(1712820601.957:21458): arch=c000003e syscall=1 success=yes exit=1 a0=7 a1=7ffc9a07ba50 a2=1 a3=0 items=0 ppid=429 pid=4987 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=2348 comm="cron" exe="/usr/sbin/cron" subj=0:63:0:0 key=(null)

type=PROCTITLE msg=audit(1712820601.957:21458): proctitle=2F7573722F7362696E2F43524F4E002D66

В соответствии с алгоритмом в этом случае мы получим одно однострочное событие с типом LOGIN, так как тип LOGIN имеет код 1006 и он меньше AUDIT_FIRST_EVENT равного 1300, и одно многострочное событие с SYSCALL и PROCTITLE.

При группировке многострочного события auditd, содержащего записи с разными префиксами, в итоговом событии будет использоваться префикс той записи, которая пришла первой. Это необходимо для корректного парсинга события нормализатором. Например, для обработки получены следующие записи:

<182>2025-03-20T06:29:22.643147+03:00 test-server-01 tag_audit_log: type=PROCTITLE msg=audit(1742441361.524:787467): proctitle=686170726F7879002D57002D6462002D66002F7573722F6C6F63616C2F6574632F686170726F78792F686170726F78792E636667

<182>2025-03-20T06:29:22.643145+03:00 test-server-01 tag_audit_log: type=SOCKADDR msg=audit(1742441361.524:787467): saddr=020026FC0A5E41E80000000000000000

<182>2025-03-20T06:29:22.643143+03:00 test-server-01 tag_audit_log: type=SYSCALL msg=audit(1742441361.524:787467): arch=c000003e syscall=42 success=no exit=-115 a0=1b a1=55d3f02e8c80 a2=10 a3=55d3eec440d0 items=0 ppid=1242 pid=1356 auid=4294967295 uid=99 gid=99 euid=99 suid=99 fsuid=99 egid=99 sgid=99 fsgid=99 tty=(none) ses=4294967295 comm="haproxy" exe="/usr/local/sbin/haproxy" subj=docker-default key="network_events"<

Поскольку первой пришла запись <182>2025-03-20T06:29:22.643147+03:00 test-server-01 tag_audit_log: type=PROCTITLE msg=audit(...), то в итоговом событии будет использоваться префикс <182>2025-03-20T06:29:22.643147+03:00 test-server-01 tag_audit_log:.

Описание

Описание ресурса. Максимальная длина описания составляет до 4000 символов в кодировке Unicode.

Отладка

Переключатель, включающий логирование ресурса. По умолчанию переключатель выключен.

Размер буфера

Размер буфера в байтах для накопления событий в оперативной памяти сервера перед отправкой на дальнейшую обработку или хранение. Вы можете указать целое положительное число. Размер буфера по умолчанию: 67 108 864 (64 МБ), в интерфейсе отображается как 0.

Количество обработчиков

Количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий.

Допускается указать целое положительное число не больше 999.

Режим опроса файла/папки

Режим, в котором коннектор перечитывает файлы в директории:

• Отслеживать изменения – коннектор перечитывает файлы в директории с интервалом в миллисекундах, указанным в поле Интервал запросов, мс, если файлы не обновляются. Значение по умолчанию.

  Например, если файлы постоянно обновляются, а в поле Интервал запросов, мс вы ввели 5000, коннектор будет перечитывать файлы постоянно, а не с интервалом в 5000 миллисекунд. Если файлы не обновляются, коннектор будет перечитывать их с интервалом в 5000 миллисекунд.

• Отслеживать периодически – коннектор перечитывает файлы в директории с интервалом в миллисекундах, указанным в поле Интервал запросов, мс, вне зависимости от того, обновляются файлы или нет.

Интервал запросов, мс

Интервал в миллисекундах, с которым коннектор перечитывает файлы в директории. Значение по умолчанию: 0 – коннектор перечитывает файлы в директории каждые 700 миллисекунд. Вам нужно выбрать в раскрывающемся списке Режим опроса файла/папки режим, в котором коннектор перечитывает файлы в директории.

Введенное значение не должно быть меньше значения, которое вы ввели на вкладке Основные параметры в поле Время ожидания изменений, сек.

Мы рекомендуем ввести значение меньше, чем значение, которое вы ввели в поле TTL буфера событий, так как это может негативно сказаться на работе функции Auditd.

Кодировка символов

Кодировка символов. По умолчанию выбрано значение UTF-8.

TTL буфера событий

Время жизни буфера для строк событий auditd в миллисекундах. Строки событий auditd попадают в коллектор LogAnalyzer и накапливаются в буфере. Это позволяет сгруппировать несколько строк событий auditd в одно событие auditd.

Отсчет времени жизни буфера начинается при получении первой строки события auditd или при истечении предыдущего времени жизни буфера. Доступные значения: от 700 до 30 000. Значение по умолчанию: 2000.

Это поле доступно, если вы включили переключатель Auditd на вкладке Основные параметры.

Строки событий auditd, накопленные в буфере, хранятся в оперативной памяти сервера. Мы рекомендуем с осторожностью увеличивать размер буфера, так как это может привести к использованию слишком большого количества оперативной памяти сервера коллектором LogAnalyzer. Вы можете просмотреть в метриках LogAnalyzer, сколько оперативной памяти сервера использует коллектор LogAnalyzer.

Если вы хотите, чтобы время жизни буфера составляло более 30 000 миллисекунд, мы рекомендуем использовать другой транспорт доставки событий auditd. Например, вы можете использовать агента или предварительно накапливать события auditd в файле, после чего обрабатывать файл коллектором LogAnalyzer.

Заголовок транспорта

Регулярное выражение для событий auditd, по которому определяются строки событий auditd. Вы можете использовать значение по умолчанию или изменить его.

Регулярное выражение должно содержать группы record_type_name, record_type_value и event_sequence_number. Если многострочное событие auditd содержит префикс, для первой строки события auditd префикс сохраняется, а для последующих – отбрасывается.

Вы можете вернуться регулярному выражению для событий auditd по умолчанию, нажав на кнопку Установить значение по умолчанию.