Просмотр журнала Kaspersky MLAD

В Kaspersky MLAD используется система ведения журналов Grafana для отслеживания состояния служб программы, а также для отслеживания событий информационной безопасности.

Отслеживание событий информационной безопасности Kaspersky MLAD в подсистеме ведения журналов

В таблице ниже приведены типы событий ИБ, которые отслеживаются в Kaspersky MLAD.

Типы событий информационной безопасности

Каждая запись о событии ИБ содержит следующие параметры:

• event_id – идентификатор события ИБ.
• timestamp – дата и время события ИБ.
• event_type – идентификатор типа события ИБ.
• sub_type – уточнение типа события ИБ.
• severity – важность события ИБ. В Kaspersky MLAD предусмотрены следующие уровни важности событий ИБ:
  • 1 – низкий.

    К этим событиям ИБ относятся записи о предоставлении доступа пользователям на выполнение какого-либо действия в веб-интерфейсе и об успешном выполнении каких-либо действий пользователей.

  • 5 – средний.

    К этим событиям ИБ относятся записи о действиях пользователей в веб-интерфейсе по управлению ML-моделями, тегами, учетными записями и паролями, а также записи о достижении заданных порогов по времени и объему хранения журналов событий ИБ.

  • 8 – высокий.

    К этим событиям ИБ относятся записи об указании пользователями неправильного адреса электронной почты пользователя и/или пароля при подключении к веб-интерфейсу программы, а также записи о неуспешных попытках смены пароля.

  • 10 – высший.

    К этим событиям ИБ относятся записи о попытках подключения к веб-интерфейсу программы с помощью системной или заблокированной учетной записи, а также записи о попытках выполнения каких-либо действий в программе при отсутствии соответствующих прав доступа.

• username – адрес электронной почты пользователя, действия которого привели к записи события ИБ.
• ip_address – IP-адрес компьютера, с которого пользователем было произведено действие, записанное в журналы событий ИБ.
• outcome – результат события ИБ. Результат OK соответствует успешному выполнению операции пользователем. Результат FAIL соответствует отказу в выполнении операции пользователем.
• msg – краткое содержание события ИБ.
• info – подробное описание события ИБ.

Отслеживание состояния служб Kaspersky MLAD в подсистеме ведения журналов

Для обозначения служб Kaspersky MLAD, состояние которых отслеживается в подсистеме ведения журналов, используются наименования соответствующих им контейнеров или образов в Docker. В качестве имени образа в большинстве случаев используется сокращенное имя службы. Имя контейнера формируется по следующему шаблону:

<директория программы>-<имя образа>-#,

где: # – номер контейнера Docker.

По умолчанию Kaspersky MLAD использует директорию /opt/kaspersky/mlad.

В журнале Kaspersky MLAD записи о состоянии служб программы хранятся только за последнюю неделю.

Ниже приведена таблица соответствия служб Kaspersky MLAD и имен образов и контейнеров Docker.

Соответствие служб Kaspersky MLAD и имен образов и контейнеров Docker

Для служб Time Series Database, Message Broker, Logger, Database, Web Server, а также образа webstatic используется уровень ведения журналов Инфо. Уровни ведения журналов для остальных служб Kaspersky MLAD задаются системным администратором при настройке параметров программы.