Работа с мониторами

21 января 2026

ID 248083

Функциональность доступна после добавления лицензионного ключа для коммерческой лицензии с процессором событий.

В разделе Процессор событий → Мониторинг вы можете управлять мониторами для отслеживания определенных событий, паттернов или значений параметров событий. С помощью мониторов вы также можете отслеживать обобщенные события или паттерны, а также события, поступившие в необычное для них время. Вы можете просматривать краткую статистику количества зарегистрированных активаций по каждому созданному монитору в виде гистограммы.

Работа с мониторами осуществляется на вкладке Мониторы, расположенной в правом верхнем углу раздела.

На вкладке отображаются все созданные в программе мониторы со следующей краткой информацией:

Имя монитора.
Значок статуса отправки оповещений об активациях монитора. Предусмотрены следующие значки:
- – отображается, если отправка оповещений об активациях монитора включена.
- – отображается, если отправка оповещений об активациях монитора выключена.
Количество активаций монитора на скользящем окне.
Тип подписки монитора. Для каждого монитора могут отображаться следующие значения:
- Значения параметров. Монитор отслеживает появление определенных значений параметров событий.
- События. Монитор отслеживает появление определенных событий.
- Эксфильтрация данных по DNS. Монитор отслеживает признаки эксфильтрации данных в DNS-запросах. При активации монитора Kaspersky MLAD автоматически создает актив DNS Exfiltration и наполняет его тегами с именами в формате <IP-адрес хоста, отправившего DNS-запрос>_<домен первого уровня в DNS-запросе>. В качестве значений тегов указываются значения вероятностей, с которыми соответствующие DNS-запросы содержат признаки эксфильтрации.
  Несанкционированное копирование, передача или получение данных с компьютера или сервера.
- Часы активности. Монитор отслеживает появление событий в необычное для них время.
- Паттерны. Монитор отслеживает появление закономерностей в поведении объекта мониторинга.
- События головы внимания. Монитор отслеживает появление событий в соответствии с параметрами конфигурации внимания.
- Уникальные обобщенные. Монитор отслеживает появление уникальных обобщенных событий или паттернов.
- Похожие обобщенные. Монитор отслеживает появление похожих обобщенных событий или паттернов.
Порог активации – количество активаций монитора на скользящем окне, при достижении которого программа отправляет оповещение об активации монитора во внешнюю систему.
Период – скользящее окно, за время которого ведется учет количества активаций монитора.

При необходимости вы можете просмотреть подробную информацию о каждом мониторе. Для этого нажмите на карточку нужного монитора.

Имя – имя просматриваемого монитора.
Состояние – параметр, определяющий состояние монитора. Возможные состояния: Активен или Не активен.
Отправка оповещений – параметр, определяющий включена ли отправка оповещений об активациях монитора.
ID монитора – идентификатор просматриваемого монитора.
Количество активаций – количество зарегистрированных активаций монитора на скользящем окне.
Дата и время последней активации – дата и время, когда монитор в последний раз был активирован.
Размер списка активаций – параметр, величина которого определяет количество последних активаций монитора, отображаемых в таблице Список активаций.
Тип подписки – параметр, определяющий что отслеживает просматриваемый монитор.
Отслеживание паттернов на слоях – номера слоев, на которых отслеживаются паттерны. Этот параметр отображается только при активации монитора паттерном.
Скользящее окно – параметр, определяющий интервал времени от текущего момента времени назад по временной последовательности, в течение которого ведется учет количества активаций. Окно сдвигается синхронно течению времени по временным меткам в событиях.
Порог активации – количество активаций, которое должен зарегистрировать монитор на скользящем окне, прежде чем отправить во внешнюю систему оповещение об активации монитора с помощью коннектора CEF Connector.
Голова внимания – голова внимания, на которой сфокусировано внимание процессора событий. Этот параметр отображается только для типов подписки События головы внимания, Паттерны, Уникальные обобщенные, Похожие обобщенные и Часы активности.
Параметр предмета внимания – параметр предмета внимания, на котором сфокусировано внимание процессора событий. Этот параметр отображается только для типов подписки События головы внимания, Паттерны, Уникальные обобщенные, Похожие обобщенные и Часы активности.
Подписка на события – параметр, определяющий, отслеживает ли монитор обобщенные события. Этот параметр отображается только для типов подписки Уникальные обобщенные и Похожие обобщенные.
Подписка на паттерны – параметр, определяющий, отслеживает ли монитор обобщенные паттерны. Этот параметр отображается только для типов подписки Уникальные обобщенные и Похожие обобщенные.
Тип активации – параметр, определяющий, отслеживает ли монитор только новые или новые и ранее выявленные значения параметров событий, события и паттерны. Этот параметр отображается только для типов подписки Значения параметров, События, Паттерны, События головы внимания и Эксфильтрация данных по DNS.
Фильтры – таблица, содержащая информацию о фильтрах, используемых в мониторах с типом подписки для типов подписки Значения параметров, События, Паттерны, События головы внимания или Эксфильтрация данных по DNS. Для каждого элемента отображаются следующие данные:
- Имя параметра – имя параметра события, за значениями которого наблюдает просматриваемый монитор.
  Для каждого объекта мониторинга поступающие события и их параметры индивидуальны. Имена параметров событий определяются в конфигурационном файле для службы Event Processor. Работы по созданию и загрузке файла конфигурации выполняет квалифицированный технический специалист Заказчика, сотрудник "Лаборатории Касперского" или сертифицированный интегратор на этапе настройки службы Event Processor.
- Тип фильтра – параметр, определяющий тип фильтра для параметров событий, по которым текущий монитор отслеживает значения параметров событий, события и паттерны. Для мониторов с подпиской на события справа от типа фильтра отображается значок , если появление значений параметров событий отслеживается отдельно с помощью дочерних мониторов (переключатель для параметра события установлен в положение Отслеживать по каждому значению).
- Тип значения – параметр, определяющий какие типы значений отслеживает просматриваемый монитор: значения по шаблону, определенные, новые (если переключатель Тип активации установлен в положение Отслеживать только новые элементы) или все значения.
- Значения – значения параметра события, за которыми наблюдает просматриваемый монитор.
Список активаций – таблица, содержащая информацию о последних активациях монитора:
- ID значения параметра – идентификатор значения параметра события, обнаружение которого вызвало активацию монитора. Этот параметр отображается только для типа подписки Значения параметров.
- ID события – идентификатор события, обнаружение которого вызвало активацию монитора. Этот параметр отображается только для типов подписки События, События головы внимания, Часы активности и Эксфильтрация данных по DNS, а также Уникальные обобщенные и Похожие обобщенные с подпиской на события.
- ID паттерна – идентификатор паттерна, обнаружение которого привело к активации монитора. Этот параметр отображается только для типов подписки Паттерны, а также Уникальные обобщенные и Похожие обобщенные с подпиской на паттерны.
- Системные параметры – блок системных параметров, который содержит следующую информацию:
  - Дата и время события – дата и время обнаружения события в потоке событий.
  - Интервал от предыдущего элемента – временной интервал между текущим событием и предыдущим событием в потоке событий на скользящем окне. Kaspersky MLAD отображает временные интервалы между событиями при первом обнаружении паттерна, в состав которого входят события. При повторном обнаружении паттерна процессор событий учитывает указанный администратором коэффициент допустимой дисперсии интервалов между этими событиями.
  - Общее количество активаций – количество повторений события в потоке событий на скользящем окне.
  - Количество параметров – количество параметров события, для которых поступили значения от объекта мониторинга.
  - Последняя активация – дата и время последнего обнаружения события в потоке событий на скользящем окне.
  Этот блок параметров отображается только типов подписки Значения параметров, События, События головы внимания, Часы активности и Эксфильтрация данных по DNS, а также Уникальные обобщенные и Похожие обобщенные с подпиской на события.
- Предмет внимания – параметр предмета внимания и его значение, обнаружение которого вызвало активацию монитора. Этот параметр отображается только для типов подписки Паттерны, а также Уникальные обобщенные и Похожие обобщенные с подпиской на паттерны.
- Дата и время активации – дата и время активации монитора. Этот параметр отображается только для типов подписки Паттерны, а также Уникальные обобщенные и Похожие обобщенные с подпиской на паттерны.
- Параметр события – значение параметра события, поступившего от объекта мониторинга. Этот параметр отображается только для типа подписки Значения параметров.
- Параметры события – значения параметров события, поступивших от объекта мониторинга. Этот параметр отображается только для типов подписки События, События головы внимания, Часы активности и Эксфильтрация данных по DNS, а также Уникальные обобщенные и Похожие обобщенные с подпиской на события.
- Количество событий – количество событий, входящих в состав паттерна, который вызвал активацию монитора. Этот параметр отображается только для типов подписки Паттерны, а также Уникальные обобщенные и Похожие обобщенные с подпиской на паттерны.
- Общее количество активаций – количество повторений паттерна в потоке событий на скользящем окне. Этот параметр отображается только для типов подписки Паттерны, а также Уникальные обобщенные и Похожие обобщенные с подпиской на паттерны.
Эксфильтрация данных по DNS – таблица, содержащая информацию о DNS-запросах, содержащих признаки эксфильтрации:
- Дата и время – дата и время DNS-запроса.
- Хост – IP-адрес хоста, отправившего DNS-запрос.
- Домен первого уровня – домен первого уровня в DNS-запросе.
- DNS-запрос – содержание DNS-запроса.
- Длина – длина строки DNS-запроса без домена.
- Энтропия – значение энтропии, рассчитанное для строки DNS-запроса без домена. Процессор событий учитывает значение энтропии при принятии решения, содержит ли DNS-запрос признаки эксфильтрации данных.
- Вероятность – вероятность того, что DNS-запрос содержит признаки эксфильтрации данных.
Эта таблица отображается только для мониторов с типом подписки Эксфильтрация данных по DNS.
Статистика по часам активности – таблица, содержащая информацию об обнаружении событий в необычные для них часы активности:
- Час активности (UTC) – час активности в формате UTC.
- Количество событий – количество событий, которые были обнаружены в необычные для них часы активности.
- Необычная активность – признак, указывающий, является ли час активности необычным для поступивших событий.
- Последнее событие в необычное время активности – последнее событие, обнаруженное в необычный час активности.
Эта таблица отображается только для мониторов с типом подписки Часы активности.
Статистика по обобщенным событиям – таблица, содержащая информацию об обобщенных событиях:
- ID события – идентификатор обобщенного события.
- Количество активаций – количество зарегистрированных активаций монитора на скользящем окне.
- Количество предметов внимания – количество значений параметра предмета внимания, обнаружение которых вызвало активацию монитора.
- Событие – обнаруженное обобщенное событие.
- Предметы внимания – значения параметра предмета внимания, обнаружение которых вызвало активацию монитора.
Эта таблица отображается только при активации монитора похожими обобщенными событиями.
Статистика по обобщенным паттернам – таблица, содержащая информацию об обобщенных паттернах:
- ID паттерна – идентификатор обобщенного паттерна.
- Количество активаций – количество зарегистрированных активаций монитора на скользящем окне.
- Количество событий – количество событий в составе обобщенного паттерна.
- Количество предметов внимания – количество значений параметра предмета внимания, обнаружение которых вызвало активацию монитора.
- Длительность паттерна – временной интервал между первым и последним событием в обнаруженном паттерне. При повторном обнаружении паттерна процессор событий учитывает указанный администратором коэффициент допустимой дисперсии интервалов между событиями паттерна.
- Паттерн – обнаруженный обобщенный паттерн.
- Предметы внимания – значения параметра предмета внимания, обнаружение которых вызвало активацию монитора.
Эта таблица отображается только при активации монитора похожими обобщенными паттернами.

Просмотр гистограммы с краткой статистикой количества активаций осуществляется на вкладке Гистограмма, расположенной в правом верхнем углу раздела.

В этом разделе

Создание монитора

Изменение монитора

Удаление монитора

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!