Формат событий

События, отправляемые в формате CEF, состоят из тела сообщения и заголовка. CEF – это стандарт управления типа "открытый журнал", который улучшает совместимость информации системы безопасности от разных сетевых устройств и приложений. Протокол CEF позволяет использовать общий формат журнала событий, чтобы системы управления предприятием могли легко получать и объединять данные для анализа.

Вы не можете изменять формат CEF-сообщений: изменять или удалять заданные поля, добавлять новые.

Заголовок каждого события состоит из семи обязательных полей, разделенных между собой символами |:

• Версия формата. В настоящее время номер версии формата – 0, поле имеет вид CEF:0. Соответствующее поле в KUMA: Extra.
• Производитель. Поле заполняется значением Kaspersky. Соответствующее поле в KUMA: DeviceVendor.
• Название приложения. Поле заполняется значением Kaspersky NGFW. Соответствующее поле в KUMA: DeviceProduct.
• Версия решения. Поле заполняется номером текущей версии решения. Соответствующее поле в KUMA: DeviceVersion.
• Класс события. Соответствующее поле в KUMA: DeviceEventClassID.

  Допустимые значения:

  • для журнала сессий – Firewall;
  • для журнала защиты DNS-трафика – DNS Security;
  • для журнала веб-контроля – Web Control;
  • для журнала проверки зашифрованного трафика – SSL Inspection;
  • для журнала антивируса URL – URL Antivirus;
  • для журналов потокового и объектного антивируса – File Antivirus;
  • для журнала Системы обнаружения и предотвращения вторжений – IDPS;
  • для журнала явного прокси – Explicit Proxy;
  • для журнала служебных событий – Service;
  • для журнала событий аудита в зависимости от типа события безопасности – Authentication Event, Account management, Traffic filtering management, IP address settings, MAC address settings, General functions settings, Security functions management, Journal management;
  • Settings modified.
• Тип события. Соответствующее поле в KUMA: Name.

  Допустимые значения:

  • для журнала сессий Firewall:
    • Если событие о начале сессии, то значение Session start.
    • Если событие о завершении сессии, то значение Session end.
  • для журнала защиты DNS-трафика:
    • Detect.
  • для журнала Веб-Контроля:
    • Detect.
    • Exclusion.
  • для журнала проверки зашифрованного трафика:
    • Decryption error.
    • Exclusion.
  • для журнала антивируса URL:
    • Detect.
    • Exclusion.
  • для журнала объектного антивируса:
    • Detect.
    • Exclusion.

• для журнала IDPS:
  • Detect.
• для журнала служебных событий:
  • Rules schedule.
  • Cert.
  • KSN.
  • DB.
• для журналов явного прокси:
  • Connection.
• для журналов аудита:
  • Successful Authentication.
  • User Account Modified.
  • Security Rule.
  • IP address.
  • MAC address.
  • Decryption rule.
  • Logging settings.

• Уровень критичности. Соответствующее поле в KUMA: Severity. Не используется, поле заполняется значением Unknown.

  В некоторых журналах уровень критичности указывается в поле Priority.

• Название журнала. Заносится вручную в KUMA. Соответствующее поле в KUMA: SpaceID.

  Допустимые значения:

  • для журнала событий аудита – Management events;
  • для журнала системных событий – System events;
  • для журналов механизмов безопасности, сетевого экрана и инспектирования SSL – Dataplane events;
  • для журнала служебных событий – Service events.

    Пример: CEF:0|Kaspersky|Kaspersky NGFW|1.1.0.0|Firewall|Session start|Unknown

Все поля тела CEF-сообщения представлены в формате <ключ>=<значение>. Если ключ имеет несколько значений, эти значения указываются через запятую. В качестве разделителя между ключами используется двоеточие.

Ключи и их значения, содержащиеся в сообщении, зависят от типа события.

Подробнее про модель данных нормализованного события в KUMA см. в справке KUMA.

В журнале сессий для ICMP-трафика ключи spc и dpt отображают значение ICMP ID.