Использование первичного фильтра

Чтобы сократить количество результатов в таблице сессий и показать только требуемые сессии, вы можете использовать первичный фильтр Менеджера сессий на основе текстовых запросов.

Чтобы выполнить текстовый запрос для первичного фильтра:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW → Мониторинг.
2. Введите свой запрос в поле Настроить запрос в верхней части рабочей области Менеджера сессий.

   Параметры запроса

   В таблице ниже приведен список параметров, отображающихся в таблице сессий, и соответствующие им названия параметров для составления текстового запроса в первичном фильтре. Для каждого параметра также приводится его описание.

   Параметры в таблице сессий и в первичном фильтре

   Параметр в таблице сессий	Параметр для первичного фильтра	Описание параметра
   ID сессии	session-id	Уникальный среди всех устройств Kaspersky NGFW идентификатор сессии.
   Название правила фильтрации	rule-name	Название правила фильтрации сетевого трафика. При изменении названия правила фильтрации в политике оно изменится и в Менеджере сессий.
   Дата/время открытия	create-datetime	Дата и время создания сессии.
   Дата/время закрытия	close-datetime	Дата и время закрытия сессии.
   Продолжительность (сек.)	duration	Время жизни сессии в секундах.
   Время последней активности	last-active-time	Дата и время получения последнего пакета в рамках текущей сессии.
   Устаревание	last-active-aging	Время, прошедшее с последнего полученного пакета в секундах.
   Метасостояние сессии	meta-state	Метасостояние сессии.
   Состояние протокола в сессии	protocol-state	Состояние протокола в сессии.
   Пакеты	packets	Общее количество пакетов, полученных в рамках сессии.
   Пакеты клиент-сервер	packets-c2s	Количество пакетов, полученных от клиента.
   Пакеты сервер-клиент	packets-s2c	Количество пакетов, полученных от сервера.
   Байты	bytes	Общее количество байт, полученных в рамках сессии.
   Байты клиент-сервер	bytes-c2s	Количество байт, полученных от клиента.
   Байты сервер-клиент	bytes-s2c	Количество байт, полученных от сервера.
   Имя хоста устройства	—	Имя хоста экземпляра Kaspersky NGFW.
   IP источника	source-address	IP-адрес источника.
   IP назначения	destination-address	IP-адрес назначения.
   Зона источника	—	Зона источника.
   Зона назначения	—	Зона назначения.
   Протокол	transport-protocol	Протокол транспортного уровня.
   Порт источника	source-port	Порт источника для TCP и UDP. Для ICMP отображается ICMP ID. Для остальных протоколов – недоступно (N/A).
   Порт назначения	destination-port	Порт назначения для TCP и UDP. Для ICMP отображается ICMP ID. Для остальных протоколов – недоступно (N/A).
   Тип ICMP	icmp-type	Тип ICMP. Для протоколов, отличных от ICMP, в таблице указывается пустое значение. Для протокола ICMP значение указывается в следующем формате: {<номер ICMP-типа ICMP-запроса> / <номер ICMP-типа ICMP-ответа>}.
   Код ICMP	icmp-code	Код ICMP. Для протоколов, отличных от ICMP, в таблице указывается пустое значение. Для протокола ICMP значение указывается в следующем формате: {<ICMP-код ICMP-запроса> / <ICMP-код ICMP-ответа>}. При получении ICMP-сообщения с кодами ICMP, которые недоступны администратору для настройки, поле все равно заполняется.
   TCP-перенаправление	tcp-redirected	Параметр, показывающий, была ли сессия перенаправлена на прозрачный TCP-прокси. Возможные значения: Да. Нет. Для UDP- и ICMP-сессий – всегда Нет.
   Расшифровано	decrypted	Параметр, показывающий, была ли сессия расшифрована. Возможные значения: Да. Нет.
   Название правила расшифровки	decrypt-rule-name	Название правила расшифровки сетевого трафика. При изменении названия правила расшифровки в политике оно изменится и в Менеджере сессий.
   Прикладной протокол	—	Цепочка приложений, использованных в сессии.
   Клиентское приложение	client-app	Клиентское приложение.
   Категория прикладного сервиса	—	Категория сервиса или список категорий сервисов, к которым было обращение от клиента.
   Прикладной сервис	app-service	Прикладной сервис.
   Действие	rule-action	Действие, применяемое к трафику. Возможные значения: block – блокировать трафик. Сессия переводится в статус DISCARD, и все пакеты этой сессии отбрасываются. allow – разрешать трафик. inspect – разрешать трафик и включать его дополнительные проверки механизмами безопасности, которые объединены в группы профилей безопасности. reset-both – блокировать трафик. Сессия переводится в статус DISCARD, и Kaspersky NGFW отправляет TCP RST клиенту и серверу.
   Полное совпадение	full-match	Параметр, показывающий, попадает ли сессия под какое-либо правило фильтрации. Возможные значения: yes – в этом случае значение поля Действие всегда будет соответствовать значению Действие из правила фильтрации, которому соответствует сессия; no – в этом случае значение поля Действие всегда будет inspect.
   Профиль Антивируса	av-profile	Профиль механизма безопасности Антивирус, примененный в сессии. Возможные значения: no; default; название профиля Антивируса.
   Профиль IDPS	ids-profile	Профиль механизма безопасности IDPS, примененный в сессии. Возможные значения: no; default; название профиля IDPS.
   Профиль Веб-Контроля	wc-profile	Профиль механизма безопасности Веб-Контроля, примененный в сессии. Возможные значения: no; default; название профиля Веб-Контроля.
   Профиль защиты DNS-трафика	dnssec-profile	Профиль механизма безопасности Защита DNS-трафика, примененный в сессии. Возможные значения: no; default; название профиля Защиты DNS-трафика.
   Причина завершения	end-reason	Причина завершения сессии. Отображаются только сессии, для которых есть причина завершения, но время ожидания до удаления сессии из Kaspersky NGFW еще не прошло. В разделе Менеджер сессий причины завершения отображаются только для сессий в метасостоянии DISCARD или состоянии протокола TCP_TIME_WAIT. Дополнительные причины завершения доступны в Журнале сессий. Возможные значения: rule-block – сессия попадает под правило фильтрации с действием block. dnssec engine – механизм безопасности Защита DNS-трафика заблокировал угрозу. wc engine – механизм безопасности Веб-Контроль заблокировал угрозу. idps engine – механизм безопасности IDPS заблокировал угрозу. av engine – механизм безопасности Антивирус заблокировал угрозу. decryption-error – во время расшифровки обнаружены ошибки, например: неподдерживаемые параметры (такие как версия SSL, наборы шифров, алгоритмы), непройденная валидация, ошибки в протоколе. client-tcp-rst – клиент отправил RST. server-tcp-rst – сервер отправил RST. tcp-fin – хосты обменялись FIN. timeout – сессия, которая находилась в состоянии, отличном от time-wait и discard, удалена по истечению времени ожидания. Сюда не относятся сессии, закрытые по FIN, RST, правилу pf или механизмами безопасности. Отображается только в журнале сессий. manual – сессия, которая находилась в состоянии, отличном от time-wait и discard, удалена вручную. Отображается только в журнале сессий. При возникновения ошибки механизма безопасности сессия не завершается автоматически и причина завершения не отображается в таблице. В зависимости от механизма безопасности, на котором произошла ошибка, Kaspersky NGFW выполняет одно из следующих действий: отправляет TCP RST и удаляет сессию (инспектирование SSL), обходит пакет (bypass) в режиме прокси или отбрасывает пакет в режиме прямого управления (DPI и IDPS), обходит пакет (Веб-Контроль), отправляет TCP RST и удаляет сессию для DNS по протоколу TCP или отбрасывает пакет для DNS по протоколу UDP (Защита DNS-трафика).
   Имя пользователя источника	source-user-name	Имя пользователя или группы пользователей источника.
   Транслированный адрес источника	translated-source-address	IP-адрес, на который был заменен IP-адрес источника трафика в сессии.
   Транслированный порт источника	translated-source-port	Порт, на который был заменен порт источника трафика в сессии.
   Транслированный адрес назначения	translated-destination-address	IP-адрес, на который был заменен IP-адрес назначения трафика в сессии.
   Транслированный порт назначения	translated-destination-port	Порт, на который был заменен порт назначения трафика в сессии.
   Правило NAT	nat-rule-name	Название правила трансляции, которое было применено к трафику в сессии (если применено).
   —	address	IP-адрес, соответствующий IP-адресу источника или назначения. Может использоваться как дополнительный параметр в фильтре, чтобы указать одновременно источник и назначение.
   —	port	Порт, соответствующий порту источника или назначения. Может использоваться как дополнительный параметр в фильтре, чтобы указать одновременно источник и назначение.
   GeoIP источника	—	Наименование страны или региона, если определена принадлежность IP-адреса источника к стране или региону. Значение будет Unknown, если не определена принадлежность IP-адреса источника к стране или региону.
   GeoIP назначения	—	Наименование страны или региона, если определена принадлежность IP-адреса назначения к стране или региону. Значение будет Unknown, если не определена принадлежность IP-адреса назначения к стране или региону.
   Создана в результате синхронизации	—	Признак, что сессия была создана в результате синхронизации узлов кластера.
   Явный прокси	—	Используется ли явный прокси.
   VSS	—	Название VSS. Если сессия проходит не через VSS, то значение будет root.
   VRF источника	—	Название входящего VRF. Значение может отсутствовать, если VRF был удален.
   VRF назначения	—	Название исходящего VRF. Значение может отсутствовать, если VRF был удален.
   ID C2S правила PBR	—	Название правила PBR в направлении потока данных клиент-сервер.
   ID S2C правила PBR	—	Название правила PBR в направлении потока данных сервер-клиент.

3. Нажмите на кнопку Выполнить запрос справа в строке запроса.

Запрос будет выполнен, и в таблице сессий отобразятся результаты, соответствующие запросу.

Информация по использованию операторов сравнения, параметров сортировки и логических операторов приводится в таблице ниже.

Операторы сравнения для текстовых запросов первичного фильтра

Логические операторы для текстовых запросов первичного фильтра

Особенности использования операторов в запросах

• Операторы логических операций невозможно использовать между несколькими значениями одного параметра.
• Если необходимо указать несколько значений для одного параметра, необходимо использовать несколько пар параметр-значение.
• Пары параметр-значение заключаются в круглые скобки. Количество пар круглых скобок не ограничено. При этом количество открывающих и закрывающих скобок должно совпадать.

  Примеры:

  • (address eq 1.1.1.1) or (address eq 2.2.2.2) – показать сессии с адресом источника или адресом назначения, равными 1.1.1.1 ИЛИ 2.2.2.2.
  • (address eq 1.1.1.1) and (last-active-aging geq 300) – показать сессии с адресом источника или адресом назначения, равными 1.1.1.1 И по которым последний пакет был получен не менее 300 секунд назад.
  • (address eq 1.1.1.1) or (address in 10.10.10.0/24) – показать сессии с адресом источника или адресом назначения, равными 1.1.1.1 ИЛИ по которым последний пакет был получен не менее 300 секунд назад.
• Операторы сравнения и логических операций отделяются пробелами, кроме оператора !, например: (параметр1 = значение) and (параметр2 = значение).
• Если значение параметра содержит одинарные, двойные кавычки или обратный слеш, то их необходимо экранировать символом \ (обратный слеш).

  Примеры:

  • (ids-profile eq 'tele \"YOU\"') – показать сессии, у которых имя профиля IDPS совпадает с tele "YOU".
  • (ids-profile eq 'Rostelecom\\MTS \"YOU\"') – показать сессии, у которых имя профиля IDPS совпадает с Rostelecom\MTS "YOU".
• Если значение параметра фильтра содержит пробел, то значение параметра заключается в одинарные кавычки, например: (create-datetime geq '2015/08/31 08:30:00').

Примеры текстовых запросов

• (address eq 1.1.1.1) – показать сессии с адресом источника или адресом назначения, равными 1.1.1.1.
• (address neq 1.1.1.1) – показать сессии с адресом источника или адресом назначения, НЕ равными 1.1.1.1.
• (last-active-aging geq 300) – показать сессии, по которым последний пакет был получен не менее 300 секунд назад.
• (last-active-aging leq 300) – показать сессии, по которым последний пакет был получен не более 300 секунд назад.
• (address in 1.1.1.0/24) – показать сессии с адресом источника или адресом назначения из сети 1.1.1.0/24.
• (address nin 1.1.1.0/24) или !(address in 1.1.1.0/24) – показать сессии с IP-адресом источника или IP-адресом назначения НЕ из сети 1.1.1.0/24.
• (ids-profile eq tele4) – показать сессии, у которых имя профиля IDPS совпадает с tele4.
• (ids-profile eq tele4) order by last-active-aging ascending – показать сессии, у которых имя профиля IDPS совпадает с tele4, и отсортировать сессии после фильтрации по возрастанию значений параметра last-active-aging.
• !(((address eq 1.1.1.1) or (port gt 1000)) and !(wc-profile eq test)) – показать все сессии, кроме тех, у которых IP-адрес источника или назначения равен 1.1.1.1 ИЛИ номер порта источника или назначения больше 1000 И имя профиля Веб-Контроля НЕ совпадает с test.