События аудита

События аудита создаются при выполнении в OSMP определенных действий, связанных с безопасностью, и используются для обеспечения целостности системы.

События аудита создаются на сервере Ядра KUMA и отправляются в хранилища тенанта Main и корреляторы тенанта Main. Поэтому для хранения событий аудита должно быть создано хотя бы одно хранилище в тенанте Main. Если хранилища нет, вам нужно создать его. События аудита отправляются в пространство Audit, которое создается автоматически внутри хранилища.

Для получения событий аудита от компонентов OSMP используется коллектор [OOTB] Kaspersky OSMP, который автоматически развертывается при установке OSMP. Коллектор [OOTB] Kaspersky OSMP невозможно удалить.

Чтобы просмотреть события аудита, вам нужно перейти в раздел Поиск угроз и добавить в запрос SELECT * FROM 'events' WHERE Type=4.

В результате выполнения запроса отобразятся события аудита, если роль пользователя предусматривает права для просмотра событий аудита.

Поля событий с общей информацией

Каждое событие аудита имеет поля событий, описанные в таблице ниже.