Формат CEF-сообщения

Сообщение в формате CEF состоит из тела сообщения и заголовка.

Вы не можете изменять формат CEF-сообщений: изменять или удалять заданные поля, добавлять новые.

Заголовок каждого события состоит из семи обязательных полей, разделенных между собой символами |:

• Версия формата. В настоящее время номер версии формата – 0, поле имеет вид CEF:0. Соответствующее поле в KUMA: Extra.
• Производитель. Поле заполняется значением Kaspersky. Соответствующее поле в KUMA: Device Vendor.
• Название приложения. Поле заполняется значением NGFW. Соответствующее поле в KUMA: Device Product.
• Версия решения. Поле заполняется номером текущей версии решения. Соответствующее поле в KUMA: Device Version.
• Класс события. Соответствующее поле в KUMA: Device Event Class ID.

  Допустимые значения:

  • для журнала сессий – Firewall;
  • для журнала защиты DNS-трафика – Detect;
  • для журнала веб-контроля –Detect;
  • для журнала проверки зашифрованного трафика – SSL Inspection;
  • для журнала антивируса – Detect;
  • для журнала Системы обнаружения и предотвращения вторжений – Detect.
• Тип события. Соответствующее поле в KUMA: Name.

  Допустимые значения:

  • для журнала сессий – Firewall:
    • если событие о начале сессии, то значение Session start;
    • если событие о завершении сессии, то значение Firewall.
  • для журнала защиты DNS-трафика – DNS Security;
  • для журнала веб-контроля – Web Control;
  • для журнала проверки зашифрованного трафика – SSL Inspection;
  • для журнала антивируса – URL Web Antivirus;
  • для журнала IDPS – IDPS;
  • для журнала служебных событий – Service.
• Уровень критичности. Не используется, поле заполняется значением Unknown.

  В некоторых журналах уровень критичности указывается в поле Priority.

  Пример: CEF:0|Kaspersky|NGFW|1.0.0.0|Firewall|Firewall|Unknown

Все поля тела CEF-сообщения представлены в формате <ключ>=<значение>. Если ключ имеет несколько значений, эти значения указываются через запятую. В качестве разделителя между ключами используется двоеточие.

Ключи и их значения, содержащиеся в сообщении, зависят от типа события.

Подробнее про модель данных нормализованного события в KUMA см. в справке KUMA.