Настройка локального хранения событий безопасности

Вы можете настроить постоянное хранение событий безопасности локально. В этом случае события будут сохраняться локально независимо от того, были ли они отправлены в SIEM-систему.

По умолчанию события безопасности сохраняются в директории /var/security-events/. События разных типов записываются в один файл. Максимальный размер одного файла – 100 МБ. Запись в новый файл начинается после того, как объем текущего файла превысит максимальный, либо, если объем файла не превышает максимальный, то каждый час

Вы можете включить постоянное локальное хранение событий безопасности в сетевых шаблонах или на устройстве Kaspersky NGFW. Параметры локального хранения событий безопасности, настроенные в сетевом шаблоне, автоматически распространяются на все устройства, которые используют этот шаблон.

Чтобы настроить постоянное локальное хранение событий безопасности:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к настройке постоянного локального ранения событий безопасности одним из следующих способов:
   • Если вы хотите настроить постоянное локальное хранение в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и перейдите в раздел Система → События.
   • Если вы хотите настроить постоянное локальное хранение на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и перейдите в раздел Система → События.

   Откроется страница События на вкладке Системные события.

3. Перейдите на вкладку События безопасности.
4. При настройке постоянного хранения событий на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
5. Если вы хотите, чтобы события безопасности сохранялись локально независимо от статуса отправки в SIEM-систему, в блоке параметров Локальное хранение установите переключатель Постоянное локальное хранение событий безопасности в положение Вкл.

   Если постоянное локальное хранение событий безопасности выключено, в поле Время ожидания для отправки событий (мин.) укажите период недоступности SIEM-системы в минутах, после которого события безопасности будут записываться в локальные временные файлы. По умолчанию установлен период 5 минут.

6. Нажмите Сохранить или Сохранить и закрыть, чтобы сохранить изменения.

Локальное хранение событий безопасности настроено.

Вы можете скачать сохраненные локально файлы событий безопасности с устройства Kaspersky NGFW через SSH или SCP. Если вы хотите скачать файлы через SSH, вам нужно подключиться к Kaspersky NGFW как к серверу. После скачивания файлы также останутся на устройстве Kaspersky NGFW.

Используйте команды shell только в соответствии с описаниями в этой справке Kaspersky NGFW или по запросу специалиста Службы технической поддержки "Лаборатории Касперского". В остальных случаях рекомендуется использовать командную строку Kaspersky NGFW.

Вы можете просматривать список событий безопасности и список файлов, а также удалять файлы событий при помощи командной строки, используя семейство команд system. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.