Фильтры локальных событий

Во время работы устройства Kaspersky NGFW происходит запись в локальный журнал большого количества системных событий. Вы можете настроить локальные фильтры для системных событий, чтобы указать, какие именно данные должны записываться в журнал на устройстве Kaspersky NGFW.

Вы можете настроить фильтры локальных событий в сетевых шаблонах или на устройстве Kaspersky NGFW. Параметры фильтров локальных событий, настроенные в сетевом шаблоне, автоматически распространяются на все устройства, которые используют этот шаблон.

Чтобы настроить локальные фильтры:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к настройке параметров фильтров локальных событий одним из следующих способов:
   • Если вы хотите настроить фильтры в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и перейдите в раздел Система → Системные журналы.
   • Если вы хотите настроить фильтры на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и перейдите в раздел Система → Системные журналы.

   Откроется вкладка Хранение журналов с параметрами фильтров локальных событий.

3. При настройке фильтров локальных событий на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
4. Выполните следующие действия:
   • Если вы хотите фильтровать записываемые в журнал события с учетом источника трафика, выберите Источник.
   • Если вы хотите фильтровать записываемые в журнал события с учетом потребителей трафика, выберите Назначение.
   • Если вы хотите фильтровать записываемые в журнал события с учетом сетевых протоколов и портов, выберите Сервис.
5. В открывшемся окне настройки фильтра выберите пункт Выбранные.

   По умолчанию установлено значение Все и локальные фильтры не настроены.

6. Если вы выбрали Источник или Назначение, выполните следующие действия:
   1. Выберите адреса, записи которых вы хотите сохранять в журналах, и нажмите на кнопку Использовать в журнале над таблицей либо включите для этих сетевых объектов переключатель в столбце Используется.
   2. Если вы хотите указать новый адрес, нажмите Создать адрес и введите название адреса и при необходимости описание, а также выберите тип адреса: Хост, Подсеть, Диапазон IP-адресов и введите требуемые значения. Подсеть необходимо указывать в формате IPv4 CIDR (<IP-адрес>/<маска подсети>, например 192.168.2.0/24).

      Вы можете создать объекты типов GeoIP и FQDN, но по ним не будет производиться фильтрация.

7. Если вы выбрали Сервис, выполните следующие действия:
   1. Выберите в таблице сервисы, записи которых вы хотите сохранять в журналах, и нажмите на кнопку Использовать в журнале над таблицей либо включите для этих сервисов переключатель в Используется.
   2. Если вы хотите создать новый сервис, нажмите на кнопку Создать в панели инструментов и введите требуемые значения: название сервиса, описание и используемый протокол и порт.
8. В разделе Уровень детализации выполните следующие действия:
   1. Установите уровень детализации ведения журнала для параметра Уровень журналирования передачи данных. Сюда входят события системных служб, службы идентификации пользователей и правил фильтрации, расшифровки, трансляции и PBR.

      Значение по умолчанию: Предупреждение.

   2. Установите уровень детализации ведения журнала для параметра Уровень журналирования проверки данных. Сюда входят события системных служб, таких как службы обновления и лицензирования, Контроля приложений, инспектирования TLS, механизмов безопасности: Антивируса, Веб-Контроля, Защиты DNS и IDPS.

      Значение по умолчанию: Критический.

   3. Установите уровень детализации ведения журнала для параметра Уровень журналирования административного управления. Сюда входят события плагинов klnagent, агентов knbe и Zabbix, SNMP, а также статус Kaspersky NGFW и события обновления прошивки.

      Значение по умолчанию: Предупреждение.

   4. Установите уровень детализации ведения журнала для параметра Уровень журналирования управления сетью. Сюда входят события, связанные с маршрутизацией.

      Значение по умолчанию: Предупреждение.

   5. Установите уровень детализации ведения журнала для параметра Уровень расширенного журналирования передачи данных. Сюда входят события, связанные с работой драйверов.

      Значение по умолчанию: Ошибка.

   6. Установите уровень детализации ведения журнала для параметра Уровень журналирования кластера. Сюда входят события, связанные с работой кластера.

      Значение по умолчанию: Предупреждение.

      Сообщения, выводимые с выбранным или более низким уровнем детализации, попадут в журнал. Например, если вы указали уровень Предупреждение, в локальный журнал будут записаны события с уровнями Предупреждение, Ошибка и Критический. Сообщения, выводимые с уровнем детализации выше установленного, в журнал не попадут.

      Ведение журналов с уровнями детализации Отладка и Трассировка может оказывать влияние на функционирование и производительность устройства Kaspersky NGFW, а также управление им. Уровни детализации Отладка и Трассировка мы рекомендуем включать только по запросу Службы технической поддержки "Лаборатории Касперского" на ограниченный период времени.

9. Нажмите Сохранить или Сохранить и закрыть, чтобы сохранить изменения.

Локальные фильтры будут настроены.