Системные журналы

В системные журналы автоматически регистрируются записи, которые содержат техническую информацию о внутренней работе устройств Kaspersky NGFW, представленные в хронологическом порядке. Эти записи по умолчанию сохраняются на жестком диске устройства Kaspersky NGFW в разделе /var. Для части системных журналов может быть настроена отправка в качестве событий в SIEM-систему в формате CEF или syslog. Такие системные журналы называются журналами системных событий.

Во время диагностики ошибок вы можете настроить хранение системных событий в оперативной памяти устройства. Вы также можете настроить передачу системных событий во внешние системы для контроля, анализа и мониторинга работы Kaspersky NGFW.

В ходе анализа системных событий администраторы могут выявить технические проблемы в работе и устранить их.

Каждому событию в журналах автоматически присваивается уровень детализации. Используются следующие уровни детализации:

• Уровень 2 – Критический. Этот уровень включает критические ошибки, приводящие к остановке работы решения или одного из ключевых компонентов; недоступность базы данных или сети; нехватка места на жестком диске; недоступность службы лицензирования.
• Уровень 3 – Ошибка. Этот уровень включает ошибки, не приводящие к остановке работы решения или его компонентов; сообщения при достижении или нарушении лицензионных ограничений.
• Уровень 4 – Предупреждение. Этот уровень включает события, требующие внимания администратора: неожиданное поведение решения; сообщения по приближению к значениям лицензионных ограничений.
• Уровень 6 – Информация. Этот уровень включает информационные сообщения о работе решения, важные действия. Такие сообщения служат для отслеживания прогресса выполняемых операций.
• Уровень 7 – Отладка. Этот уровень включает детальное пошаговое описание событий. Такие сообщения служат для понимания причин поведения решения.
• Трассировка. Этот уровень включает очень детальное пошаговое описание событий.

Для сбора системных событий используется демон journald. Работа с файлами журналов системных событий осуществляется согласно логике работы journald.

Настройка некоторых типов системных событий Linux (для агента подключения к OSMP, событий ядра и демонов Linux) выполняется через shell на устройстве Kaspersky NGFW.

Используйте команды shell только в соответствии с описаниями в этой справке Kaspersky NGFW или по запросу специалиста Службы технической поддержки "Лаборатории Касперского". В остальных случаях рекомендуется использовать командную строку Kaspersky NGFW.

Журналы системных событий сохраняются после перезагрузки устройства Kaspersky NGFW. Всегда включена ротация журналов системных событий, отключить ее нельзя.