События Потокового и Объектного антивируса

cs4

cs4Label

Приоритет события.

Значение отображается по умолчанию.

Для правил фильтрации по MIME-типам или имени файлов: если файл был заблокирован (применено действие block), имеет значение Low.

Возможные значения при отправке файла в KATA, если включена запись в журнал:

• Если файл был определен KATA как зараженный, имеет значение High.
• Если файл был отправлен в KATA, имеет значение High.
• Если файл удален из очереди и нет возможности отправить его на проверку в KATA, имеет значение High.

devicePayloadId

Идентификатор сессии.

deviceDirection

Направление соединения из сырого события. Возможные значения:

• 0 – request (запрос);
• 1 – response (ответ).

Значение отображается по умолчанию.

cs1

cs1Label

Обнаруженный объект.

Значение отображается по умолчанию.

Возможные значения при отправке файла в KATA, если включена запись в журнал:

• Если файл был определен как зараженный, имеет значение Detected by KATA server.
• Если файл удален из очереди и нет возможности отправить его на проверку в KATA, имеет пустое значение.

act

Действие, примененное при посещении домена.

Значение отображается по умолчанию.

Возможные значения при отправке файла в KATA, если включена запись в журнал:

• Если файл был определен как зараженный, имеет значение Allow, так как файл уже передан пользователю.
• Если файл был отправлен в KATA, имеет значение, соответствующее действию, которое выбрано в профиле Антивируса.
• Если файл удален из очереди и нет возможности отправить его на проверку в KATA, имеет значение Allow.

cs3

cs3Label

Источник обнаружения. Может быть одно или несколько значений.

Если источников обнаружения несколько, то указывается вся цепочка участвующих в обнаружении источников (список).

Возможные варианты значений (указаны в порядке отображения):

• Local;
• KSN;
• KATA.

rt

Дата и время формирования события на устройстве Kaspersky NGFW (сессия удалилась и попала в Менеджер сессий Kaspersky NGFW).

Формат: 2023-12-26T12:31:54Z.

dtz

Часовой пояс на устройстве.

dvchost

Имя хоста устройства Kaspersky NGFW.

Значение отображается по умолчанию.

src

IP-адрес источника.

Значение отображается по умолчанию.

dst

IP-адрес назначения (откуда скачивался файл).

Значение отображается по умолчанию.

proto

Протокол уровней L3–L4.

Всегда указывается значение TCP.

Значение отображается по умолчанию.

spt

Порт источника.

dpt

Порт назначения (откуда скачивался файл).

app

Протокол уровня L7 из обнаружения контроля приложений.

Возможное значение: HTTP.

Значение отображается по умолчанию.

request

Посещаемый URL (полный путь).

Значение отображается по умолчанию.

cat

Категория ПО обнаруженного объекта.

Значение отображается по умолчанию.

Для правил фильтрации по MIME-типам или имени файлов: если файл был заблокирован (применено действие block), имеет значение Unknown.

Возможные значения:

• Malware – файл был определен KATA как Вредоносное ПО.
• Пустое значение при ошибке отправки или недоступности KATA.

KasperskyNGFWAntivirusProfile

Сработавший профиль безопасности антивируса.

Значение отображается по умолчанию.

fsize

Размер файла (берется из заголовка http).

fname

Название файла (берется из заголовка http-ответа).

msg

Текст сообщения.

Варианты сообщений:

• Если включена отправка объектов в KATA в сработавшем профиле Антивируса:
  • File was sent to KATA – файл был отправлен в KATA.
  • File was not sent to KATA. Connection failed – файл не был отправлен в KATA и удален из очереди. Соединение с KATA было прервано.
  • Infected file was detected by KATA – файл был определен KATA как Вредоносное ПО.
• Если включена фильтрация по MIME-типам или имени файлов и файл был заблокирован (применено действие block): Filtered by <тип фильтрации> filter_name: <название сработавшего правила фильтрации>, где <тип фильтрации> может быть mime-type-filter для фильтрации по MIME-типу или file-name-filter для фильтрации по имени файла.
• Если сработала фильтрация по адресу, найденному в заголовке X-Forwarded-For, поле имеет следующий формат:
  • Filtered by forwarded-filter filter_name: <название сработавшего правила фильтрации>