Примеры настройки для поиска по ключевым событиям...

Примеры настройки для поиска по ключевым событиям в KUMA

06 мая 2026

ID 326517

Для поиска определенных событий безопасности можно воспользоваться SQL-вызовом напрямую в базу данных (в разделе Events → SQL builder). С помощью SQL Builder можно создать необходимые запросы и сохранить их для быстрых вызовов.

Выполнение SQL-запроса

Чтобы выполнить SQL-запрос:

Перейдите в раздел Events и найдите поле Events с SQL-запросом по умолчанию.
Удалите содержимое SQL-запроса по умолчанию.
Скопируйте и вставьте SQL-запрос из примеров этого раздела.

Раздел Events в KUMA
Нажмите Save current filter и заполните поля:
- Filter name – название SQL-запроса.
- Query – текст SQL-запроса.
- Select folder – выберите Main.
Нажмите Save, чтобы сохранить запрос.

Параметры SQL-запроса в KUMA
Нажмите Saved searches, чтобы увидеть сохраненные SQL-запросы.

Сохраненные SQL-запросы в KUMA
Выберите необходимый SQL-запрос и нажмите Run query для отображения всех событий, соответствующих запросу.

Результат выполнения SQL-запроса в KUMA

Примеры SQL-запросов

Имя: ORC: Audit All Security notification

Описание: Для поиска всех событий безопасности на CPE (Исключаем правила корреляции, которые информируют о создании Alarm Type != 3)

SELECT *

FROM `events`

WHERE Type != 3

AND (

match(S.MessageSubject, 'SYS-AUD Started:')

OR match(S.MessageSubject, 'SYS-AUD Stopped:')

OR match(S.MessageSubject, 'SDW-CPE Any:')

OR match(S.MessageSubject, 'SDW-CPE AnyError:')

OR match(S.MessageSubject, 'SDW-CPE Create:')

OR match(S.MessageSubject, 'SDW-CPE CreateError:')

OR match(S.MessageSubject, 'SDW-CPE Registration:')

OR match(S.MessageSubject, 'SDW-CPE RegistrationError:')

OR match(S.MessageSubject, 'SDW-CPE Delete:')

OR match(S.MessageSubject, 'SDW-CPE DeleteError:')

OR match(S.MessageSubject, 'SDW-CPE Disable:')

OR match(S.MessageSubject, 'SDW-CPE DisableError:')

OR match(S.MessageSubject, 'SDW-CPE Enable:')

OR match(S.MessageSubject, 'SDW-CPE EnableError:')

OR match(S.MessageSubject, 'SDW-CPE-GEN FirewallTemplate:')

OR match(S.MessageSubject, 'SDW-CPE-GEN FirewallTemplateError:')

OR match(S.MessageSubject, 'SDW-CPE-ENC Encryption:')

OR match(S.MessageSubject, 'SDW-CPE-ENC EncryptionError:')

OR match(S.MessageSubject, 'SDW-CPE-SCR Scripts:')

OR match(S.MessageSubject, 'SDW-CPE-SCR ScriptsError:')

OR match(S.MessageSubject, 'SDW-CPE-NET Interface:')

OR match(S.MessageSubject, 'SDW-CPE-NET InterfaceError:')

OR match(S.MessageSubject, 'SDW-CPE-FW Firewall:')

OR match(S.MessageSubject, 'SDW-CPE-FW FirewallError:')

OR match(S.MessageSubject, 'SDW-CPE-STR StaticRoute:')

OR match(S.MessageSubject, 'SDW-CPE-STR StaticRouteError:')

OR match(S.MessageSubject, 'SDW-CPET Any:')

OR match(S.MessageSubject, 'SDW-CPET AnyError:')

OR match(S.MessageSubject, 'SDW-CPET-ENC Encryption:')

OR match(S.MessageSubject, 'SDW-CPET-ENC EncryptionError:')

OR match(S.MessageSubject, 'SDW-CPET-SCR Scripts:')

OR match(S.MessageSubject, 'SDW-CPET-SCR ScriptsError:')

OR match(S.MessageSubject, 'SDW-CPET-NET Interface:')

OR match(S.MessageSubject, 'SDW-CPET-NET InterfaceError:')

OR match(S.MessageSubject, 'SDW-CPET-STR StaticRoute:')

OR match(S.MessageSubject, 'SDW-CPET-STR StaticRouteError:')

OR match(S.MessageSubject, 'SDW-FWT Firewall:')

OR match(S.MessageSubject, 'SDW-FWT FirewallError:')

OR match(S.MessageSubject, 'SDW-FWZ Zone:')

OR match(S.MessageSubject, 'SDW-FWZ ZoneError:')

OR match(S.MessageSubject, 'SDW-FMW Firmware:')

OR match(S.MessageSubject, 'SDW-FMW FirmwareError:')

OR match(S.MessageSubject, 'SCH-FMWU FirmwareUpdate:')

OR match(S.MessageSubject, 'SCH-FMWU FirmwareUpdateError:')

OR match(S.MessageSubject, 'SCH-UPDS UpdateSettings:')

OR match(S.MessageSubject, 'SCH-UPDS UpdateSettingsError:')

OR match(S.MessageSubject, 'USR-USR Authentication:')

OR match(S.MessageSubject, 'USR-USR AuthenticationError:')

OR match(S.MessageSubject, 'USR-USR UserChange:')

OR match(S.MessageSubject, 'USR-PERM UserPermissions:')

OR match(S.MessageSubject, 'SYS-API Call:')

OR match(S.MessageSubject, 'SYS-API СallСomplete:')

)

ORDER BY Timestamp DESC

LIMIT 500;

Имя: CPE: Audit All Device

Описание: Для поиска всех событий безопасности на CPE

SELECT *

FROM `events`

WHERE Type != 3

AND (

match(S.MessageSubject, 'Password auth succeeded')

OR match(S.MessageSubject, 'Max auth tries reached')

OR match(S.MessageSubject, 'Bad password attempt')

OR match(S.MessageSubject, 'sdwan-oob:')

OR match(S.MessageSubject, 'Firewall stopped')

OR match(S.MessageSubject, 'Firewall started')

OR match(S.MessageSubject, 'Firewall reloaded')

OR match(S.MessageSubject, 'Firewall restarted')

OR match(S.MessageSubject, 'FW-AUD')

OR match(S.MessageSubject, 'Integrity check successful')

OR match(S.MessageSubject, 'Integrity check failed')

OR match(S.MessageSubject, 'Verification mismatch')

OR match(S.MessageSubject, 'Traffic forwarding blocked')

OR match(S.MessageSubject, 'Successful firewall self test')

OR match(S.MessageSubject, 'Firewall self test failed')

OR match(S.MessageSubject, 'USB device')

OR match(S.MessageSubject, 'Storage device detected')

OR match(S.MessageSubject, 'mounted filesystem')

OR match(S.MessageSubject, 'time jump detected')

)

ORDER BY Timestamp DESC

LIMIT 500;

Имя: CPE: Audit All Device IP

Описание: Для поиска всех событий безопасности на CPE по определенному IP-адресу

SELECT *

FROM `events`

WHERE DeviceAddress = '172.17.9.223' AND Type != 3

AND (

match(S.MessageSubject, 'Password auth succeeded')

OR match(S.MessageSubject, 'Max auth tries reached')

OR match(S.MessageSubject, 'Bad password attempt')

OR match(S.MessageSubject, 'sdwan-oob:')

OR match(S.MessageSubject, 'Firewall stopped')

OR match(S.MessageSubject, 'Firewall started')

OR match(S.MessageSubject, 'Firewall reloaded')

OR match(S.MessageSubject, 'Firewall restarted')

OR match(S.MessageSubject, 'FW-AUD')

OR match(S.MessageSubject, 'Integrity check successful')

OR match(S.MessageSubject, 'Integrity check failed')

OR match(S.MessageSubject, 'Verification mismatch')

OR match(S.MessageSubject, 'Traffic forwarding blocked')

OR match(S.MessageSubject, 'Successful firewall self test')

OR match(S.MessageSubject, 'Firewall self test failed')

OR match(S.MessageSubject, 'USB device')

OR match(S.MessageSubject, 'Storage device detected')

OR match(S.MessageSubject, 'mounted filesystem')

OR match(S.MessageSubject, 'time jump detected')

)

ORDER BY Timestamp DESC

LIMIT 500;

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!