Skip to main content

Работа с алертами

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Официальная документация по данному разделу приведена в онлайн-справке на продукт: https://support.kaspersky.ru/kuma/4.0/218046

Алерт - это уведомление (оповещение), создаваемое в KUMA, при получении события или последовательности событий, которое приводит к срабатыванию правила корреляции.

KUMA автоматически присваивает уровень важности каждому алерту. Уровень важности отражает насколько критичны для безопасности действия/выполненные команды/запущенные процессы и файлы, обнаруженные в событии. Уровень важности зависит от уровня важности сработавшего правила корреляции и категории актива, который вовлечен в алерт.
Возможные значения уровня важности:

  • Низкий
  • Средний
  • Высокий
  • Критический

image377.png

image378.png

В первую очередь следует обрабатывать алерты с более высоким уровнем важности. Значение уровня важности автоматически обновляется при получении новых корреляционных событий в результате срабатывания правил корреляции, но аналитик также может задать уровень важности вручную. В этом случае уровень важности алерта больше не обновляется автоматически.
В разделе Алерты веб-интерфейса KUMA можно просматривать и обрабатывать алерты, зарегистрированные KUMA. 

Жизненный цикл алертов

  • KUMA создает алерт при срабатывании правила корреляции. Алерт именуется по породившему его правилу корреляции. Алерту присваивается статус Новый.
  • Алерты в статусе Новый продолжают наполняться данными при последующих срабатываниях того же правила корреляции (если не используются правила сегментации). При изменении статуса алерта на любой другой, алерт больше не обновляется и, если правило корреляции срабатывает снова, создается новый алерт.

С помощью правил сегментации поток однотипных корреляционных событий можно разделять, создавая более одного алерта.

  • Алерт назначается пользователю (аналитику) для дальнейшего расследования. Статус алерта меняется на Назначен.
  • Аналитик выполняет одно из следующих действий:
    • Закрывает алерт как ложно положительный (статус алерта меняется на Закрыт).
    • Реагирует на угрозу и закрывает алерт (статус алерта меняется на Закрыт).
    • Создает на основе алерта инцидент (статус алерта меняется на В инциденте).

Наполнение алертов событиями

По умолчанию количество привязанных событий к алерту не может превышать 10 000. Когда количество событий привязанных к алерту достигает 10 000, создается новый алерт с таким же названием, но новым идентификатором. Идентификатор алерта можно просмотреть в деталях алерта. При необходимости вы можете изменить это значение в свойствах правила сегментации в поле Количество корреляционных событий. Правило сегментации при этом должно быть включено и привязано к правилам корреляции алертов тенанта.

Поиск алертов

Чтобы выполнить поиск алертов:

  • Перейдите в Алерты
  • Введи в поле Поиск искомое имя алерта, например, «KUMA»

Пример алерта с именем «KUMA» будет доступен при создании правила типа Simple или Standard.

  • Убедитесь, что в таблице отображаются только алерты в названии, которых содержится слово "KUMA"

image379.png

Параметры, по которым производится поиск:
•    Активы: название, FQDN, IP-адрес.
•    Учетные записи Active Directory: атрибуты displayName, SAMAccountName, UserPrincipalName.
•    Корреляционные правила: название.
•    Пользователи KUMA, которым назначены алерты: имя, логин, адрес электронной почты.
•    Тенанты: название.

При нажатии на заголовки столбцов вы можете просмотреть значения для фильтрации алертов. При фильтрации алертов по какому-либо параметру соответствующий заголовок таблицы алертов подсвечивается желтым цветом.

image380.png

image381.png

Чтобы сохранить текущие параметры фильтрации алертов:

  • В разделе Алерты откройте раскрывающийся список Фильтры.
  • Выберите Сохранить текущий фильтр.
  • Появится поле для ввода названия нового фильтра и выбора тенанта, которому он будет принадлежать.
  • Введите название фильтра.
  • В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать фильтр, и нажмите Сохранить.
    Фильтр сохранен.

image382.png

Чтобы сбросить текущие настройки фильтра, откройте раскрывающийся список Фильтры и выберите Очистить фильтры.

Просмотр информации об алерте

Для примера можно использовать уже сформированный алерт в KUMA (при наличии) или выполнить следующие действия для создания алерта:

  • Убедитесь, что правила R220_02_Сбор информации об учетных записях стандартными средствами Windows и R220_Сбор информации об учетных записях привязаны к коррелятору. Для этого:
    • Перейдите в Ресурсы → Активные сервисы
    • Выберите сервис коррелятора
    • В окне Редактирование коррелятора перейдите на шаг Корреляция
    • В поле Поиск введите «220»
    • Убедитесь, что правила R220_02_Сбор информации об учетных записях стандартными средствами Windows и R220_Сбор информации об учетных записях присутствуют в списке.
    • Если правила отсутствуют в списке выполните привязку правил аналогично статьям Простое правило (simple) и Стандартное правило (standard).

image383.png

  • Убедитесь, что события Windows A new process has been created (Event ID 4688) поступают с тестовой рабочей станции. Для этого:
    • Перейдите в раздел События.
    • Укажите следующий поисковый запрос:
SELECT * FROM `events` WHERE DeviceEventClassID = '4688' AND DeviceHostName = '<имя тестовой рабочей станции>'  ORDER BY Timestamp DESC LIMIT 250
    • Нажмите Выполнить запрос
    • Убедитесь, что события A new process has been created отображаются в таблице событий.
    • Если события A new process has been created отсутствуют в таблице событий выполните настройку сбора событий с EventID 4688 одним из описанных способов.

image384.png

  • На тестовой рабочей станции запустите командую строку и выполните команду whoami для отображения имени текущего пользователя.

image385.png

  • В веб-интерфейсе KUMA перейдите в раздел Алерты и убедитесь, что алерт R220_Сбор информации об учетных записях появился в таблице алертов.

image386.png

Чтобы просмотреть информацию об алерте:

  • Перейдите в раздел Алерты.
  • Нажмите на название алерта, информацию о котором вы хотите просмотреть. В нашем примере это алерт R220_Сбор информации об учетных записях.
  • Откроется окно с информацией об алерте.
    В верхней части окна с информацией об алерте расположена панель инструментов, а также указаны уровень важности алерта и имя пользователя, которому назначен этот алерт. В этом окне можно обработать алерт: изменить его уровень важности, назначить его пользователю, закрыть, создать на его основе инцидент (подробнее см. Раздел Обработка алертов).

image387.png

Раздел Информация об алерте

Этот раздел позволяет просмотреть основную информацию об алерте. Он содержит следующие данные:

  • Уровень важности правила корреляции – уровень важности правила корреляции, в результате срабатывания которого создан алерт.
  • Наивысшая важность категории активов – самый высокий уровень важности категории активов из тех, которые принадлежат связанным с этим алертом активам. Если с алертом связано несколько активов, отображается наибольшее значение.
  • Привязан к инциденту – если алерт привязан к инциденту, то отображаются название и статус алерта. Если алерт не привязан к инциденту, поле не заполнено.
  • Первое появление – дата и время создания первого корреляционного события, приведшего к созданию алерта.
  • Последнее появление – дата и время создания последнего корреляционного события, приведшего к созданию или обновлению алерта.
  • Идентификатор алерта – уникальный идентификатор алерта в KUMA.
  • Тенант – название тенанта, которому принадлежит алерт.
  • Правило корреляции – название правила корреляции, в результате срабатывания которого создан алерт. Название правила представлено в виде ссылки, по которой можно перейти к настройкам этого правила корреляции.

image388.png

Раздел Связанные события

Этот раздел содержит таблицу событий, относящихся к алерту. Если нажать на значок image389.png  рядом с корреляционным событием, отобразятся базовые события, которые стали триггером срабатывания правила корреляции.

Базовое событие. Событие, которое было получено от источника и было нормализовано.
Корреляционное событие. При обнаружении события или последовательности событий, удовлетворяющих условиям правила корреляции, коррелятор создает корреляционное событие.

В нашем примере используется «вложенное» правило корреляции R220_02_Сбор информации об учетных записях стандартными средствами Windows, срабатывание которого приводит к срабатыванию вышестоящего (обобщающего) правила R220_Сбор информации об учетных записях. Поэтому при нажатии на значок image389.png  отображается сначала еще одно корреляционное событие (результат срабатывания R220_02_Сбор информации об учетных записях стандартными средствами Windows), а уже затем отображается базовое событие.

image390.png

image391.png

При выборе события в таблице открывается область деталей, содержащая информацию о выбранном событии. 

image392.png

image393.png

Кнопка Найти в событиях справа от заголовка раздела используется для перехода к расследованию алерта.

Подробнее про расследование алерта:
https://support.kaspersky.ru/kuma/4.0/217847

Пример расследования инцидента с помощью KUMA:
https://support.kaspersky.ru/kuma/4.0/245892

С помощью кнопки Скачать события вы можете скачать информацию о связанных событиях в виде файла в формате CSV (в кодировке UTF-8). 

Раздел Связанные активы

Этот раздел содержит таблицу активов, связанных с алертом. Информация об активах поступает из событий, связанных с алертом. С помощью поля Поиск по IP или FQDN можно искать нужные активы. Активы можно сортировать по столбцам Количество и Актив.

image394.png

При нажатии на название актива открывается окно Информация об активе, в котором можно посмотреть владельца актива, состояние защиты (статусы KSC), информацию о ПО, аппаратном обеспечении и уязвимостях (опционально). 

image395.png

image396.png

С помощью кнопки Скачать активы вы можете скачать информацию о связанных активах в виде файла в формате CSV (в кодировке UTF-8). 

Раздел Связанные пользователи

Этот раздел содержит таблицу пользователей, относящихся к алерту. Информация о пользователях поступает из событий, связанных с алертом. С помощью поля Поиск пользователей можно искать нужных пользователей. Пользователей можно сортировать по столбцам Количество, Пользователь, User principal name (Основное имя пользователя) и Адрес электронной почты.

image397.pngПри нажатии на имя пользователя открывается окно Информация об учетной записи, в котором можно посмотреть данные учетной записи: в каких группах состоит учетная запись, UAC, контактные данные, местонахождение пользователя и другие атрибуты, которые были импортировать из MS Active Directory.

image398.png

С помощью кнопки Скачать пользователей вы можете скачать информацию о связанных пользователях в виде файла в формате CSV (в кодировке UTF-8). 

Раздел Журнал изменений

Этот раздел содержит записи об изменениях, которые пользователи внесли в алерт. Изменения регистрируются автоматически, при этом есть возможность вручную добавлять комментарии. Комментарии можно сортировать по столбцу Время.

Например, назначьте алерт пользователю Administrator. Статус алерта изменится c Новый на Назначен.

image399.png

image400.png

Убедитесь, что в разделе Журнал изменений появилась запись о назначении алерта пользователю Administrator.

image401.png

При необходимости в поле Комментарий вы можете внести комментарий к алерту и нажать Добавить, чтобы сохранить его.

Обработка алертов


Вы можете изменить уровень важности алерта, назначить алерт пользователю, закрыть алерт или создать на основе алерта инцидент.

В терминах Лаборатории Касперского инцидент — это подтвержденный алерт (другими словами, подтвержденная угроза информационной безопасности). Инцидент может объединять несколько алертов, например, в рамках расследования аналитик обнаружил первичное заражение и боковое перемещение и привязал эти алерты к одному инциденту.

Чтобы

обработать

 

 

 

 

 

 

 

 

Формирование SQL-запроса

По умолчанию в разделе События данные не отображаются. Для просмотра событий в поле поиска нужно задать SQL-запрос и нажать на кнопку Выполнить запрос. SQL-запрос можно ввести вручную или сформировать с помощью конструктора запросов.

Для создания SQL-запроса вручную:алерт:

  • ВведитеВыберите SQL-запроснеобходимый алерт одним из следующих способов:
    • В разделе Алерты веб-интерфейса KUMA нажмите на алерт, сведения о котором вы хотите просмотреть. Откроется окно алерта, в полеверхней ввода.его Используйтечасти одинарныерасположена кавычкипанель в запросах.инструментов.
    • Нажмите
    на кнопку Выполнить запрос.

    image222.pngimage.png

    • ОтобразитсяВ таблицаразделе событий,Алерты соответствующихвеб-интерфейса условиямKUMA вашегоустановите запроса.флажок рядом с требуемым алертом (можно выбрать более одного алерта). В нижней части окна отобразится панель инструментов.

    image223.pngimage402.png

    ДляАлерты созданиясо SQL-запросастатусом cЗакрыт помощьюне конструктора:могут быть выбраны для обработки.

    • НажмитеИзмените уровень важности алерта с помощью раскрывающегося списка Уровень важности:
      • Низкий.
      Средний. Высокий. Критический.

      В нашем примере измените Уровень важности с Высокий на Критический.

      image403.png

        Алерт можно назначить пользователю для дальнейшего анализа. Ранее в Разделе Просмотр информации об алерте мы уже назначили алерт пользователю Administrator. Статус алерта в таком случае изменяется на кнопкуНазначен, image.pngа .в раскрывающемся списке Назначить отобразится имя выбранного пользователя. Если алерт признан ложным срабатыванием или расследование алерта завершено закройте алерт. Для этого:
          Нажмите Закрыть алерт (это можно сделать в карточке алерта или в таблице алертов, выбрав соответствующий алерт, как на скриншоте выше). В появившемся окне конструктораподтверждения запросовукажите сформулируйтепричину поисковыйзакрытия запрос. Нажмите на кнопку Применить запрос.

          image225.png

          алерта:
          • ТекущийОтработан. SQL-запросЭто будетозначает, перезаписан.что Вбыло полепроведено поискарасследование отобразитсяалерта сформированныйи SQL-запрос.приняты необходимые меры по устранению угрозы безопасности.
          • ДляНеверные отображенияданные. данныхЭто возначает, таблицечто нажмитеалерт был ложным, а полученные события не указывают на кнопкуугрозу Выполнить запрос.безопасности.
          • ОтобразитсяНеверное таблицаправило событий,корреляции. соответствующихЭто условиямозначает, вашегочто запроса.
          алерт был

          image226.png

          ложным,

          Примерыа запросов

          SELECT * FROM `events` WHERE Type IN ('Base', 'Audit') ORDER BY Timestamp DESC LIMIT 250

          Всеполученные события таблицыне events с типом Base и Audit, отсортированные по столбцу Timestamp в порядке убывания. Количество отображаемых в таблице строк – 250.

           SELECT * FROM `events` WHERE BytesIn BETWEEN 1000 AND 2000 ORDER BY Timestamp ASC LIMIT 250

          Все события таблицы events, для которых в поле BytesIn значение полученного трафика находится в диапазоне от 1000 до 2000 байт, отсортированные по столбцу Timestamp в порядке возрастания. Количество отображаемых в таблице строк – 250.

           SELECT * FROM `events` WHERE Message LIKE '%ssh:%' ORDER BY Timestamp DESC LIMIT 250

          Все события таблицы events, которые в поле Message содержат данные, соответствующие заданному шаблону %ssh:% в нижнем регистре, и отсортированы по столбцу Timestamp в порядке убывания. Количество отображаемых в таблице строк – 250.

           SELECT * FROM `events` WHERE inSubnet(DeviceAddress, '00.0.0.0/00') ORDER BY Timestamp DESC LIMIT 250

          Все события таблицы events для хостов, которые входят в подсеть 00.0.0.0/00, отсортированные по столбцу Timestamp в порядке убывания. Количество отображаемых в таблице строк – 250.

           SELECT * FROM `events` WHERE match(Message, 'ssh.*') ORDER BY Timestamp DESC LIMIT 250

          Все события таблицы events, которые в поле Message содержат текст, соответствующий шаблону ssh.*, и отсортированы по столбцу Timestamp в порядке убывания. Количество отображаемых в таблице строк – 250.

          SELECT max(BytesOut) / 1024 FROM `events`

          Максимальный размер исходящего трафика (КБ) за выбранный период времени.

          SELECT count(ID) AS "Count", SourcePort AS "Port" FROM `events` GROUP BY SourcePort ORDER BY Port ASC LIMIT 250

          Количество событий и номер порта. События сгруппированы по номеру порта и отсортированы по столбцу Port в порядке возрастания. Количество отображаемых в таблице строк – 250. Столбцу ID в таблице событий присвоено имя Count, столбцу SourcePort присвоено имя Port.

          Фильтрация событий по периоду

          В KUMA вы можете настроить отображение событий, относящихся к определенному временному периоду. В предыдущих примерах поиск событий выполнялся за последние 5 минут (диапазон по умолчанию).

          Чтобы отфильтровать события по периоду:

            В разделе События веб-интерфейса KUMA в верхней части окна откройте раскрывающийся список временного периода. Выполните одно из следующих действий, чтобы выбрать временной период:
              Если вы хотите выполнить фильтрацию по относительному временному периоду, выберите один из доступных временных периодов в блоке Относительный диапазон времени справа. Например, вы можете выбрать временной период 5 минут, 15 минут, 1 час, 24 часа. Если вы хотите выполнить фильтрацию по конкретному временному периоду, в календаре слева выберите дату начала и окончания периода и нажмитеуказывают на кнопкуугрозу Применить.безопасности. ФорматВозможно, датытребуется икоррекция времениправила зависит от настроек вашей операционной системы. При необходимости вы также можете указать значения даты вручную в полях Дата от и Дата до.корреляции. Нажмите на кнопку Выполнить запросОК.

              image227.png

              image228.png

              Вы также можете настроить отображение событий с помощью гистограммы событий, которая отображается при нажатии на кнопку image.png в верхней части раздела События. События отобразятся, если нажать на нужный столбец данных или выделить требуемый период времени и нажать на кнопку Показать события.

              image230.png

              Просмотр информации о событии

              Чтобы просмотреть информацию о событии (карточку события):

                В таблице событий выберите событие, информацию о котором вы хотите просмотреть. Откроется окно Информация о событии со списком полей события и их значений.

                image231.png

                В окне Информация о событии доступны следующие действия:

                  Включить выбранное поле в поиск или исключить его из поиска, нажав на image.png или image.png рядом со значением поля.

                  image234.png

                    По хешу файла в полях FileHash или OldFileHash раскрыть список, в котором можно выбрать одно из следующих действий:
                      Показать информацию о файле из Threat Lookup (доступно при интеграции с Kaspersky Threat Intelligence Portal. См. Статью Интеграция с Kaspersky Threat Intelligence Portal). Добавить в Internal TI CyberTrace (доступно при интеграции с Kaspersky CyberTrace. См. Статью Интеграция с Kaspersky CyberTrace).

                      image235.pngimage404.png

                       

                      • Статус алерта будет изменен на Закрыт. Алерты с таким статусом не обновляются новыми корреляционными событиями и отображаются в таблице алертов, только если в раскрывающемся списке Статус установлен флажок Закрыт. Изменить статус закрытого алерта или назначить его другому пользователю невозможно.

                      image405.png

                      image406.png

                      • НайтиЕсли похожие события (в строкупроцессе поискарасследования алерта Вы выявили и подтвердили вредоносные действия, а также предполагаете наличие других алертов, связанных с данной вредоносной активностью, создайте на основе алерта инцидент:
                        • Нажмите Создать инцидент.
                        Откроется окно создания инцидента. В качестве названия инцидента используется название алерта. При необходимости измените параметры инцидента и нажмите Сохранить. Инцидент будет добавленосоздан, условиестатус видаалерта FileHashизменится =на '<значениеВ хэш-суммы>'инциденте. ORПри OldFileHashнеобходимости =алерт '<значениеможно хэш-суммы>')отвязать от инцидента, выбрав его и нажав Отвязать.
                        Открыть окно

                        image407.png

                        со

                        image408.png

                        сведениями

                        image409.png

                        image410.png

                        Подробнее про работу с инцидентами:
                        https://support.kaspersky.ru/kuma/4.0/220213

                        Уведомления об активе,алертах

                        если

                        При событиесоздании обогащенои информациейназначении обалертов активепо (см.электронной Статьюпочте Интеграциярассылаются сстандартные Kasperskyуведомления SecurityKUMA. Center)Предварительно необходимо настроить подключение к SMTP-серверу организации, а также установить флажок Получать уведомления по почте в карточке пользователя.

                        Чтобы настроить подключение к SMTP-серверу:

                          Перейдите в раздел Параметры → Общие. ПросмотретьВ параметрысекции сервиса,Параметры обработавшегоподключения событие,к перейдяSMTP-серверу поукажите ссылкенеобходимые спараметры: именем
                          коллектораАдрес сервера – адрес SMTP-сервера в одном из следующих форматов: hostname, IPv4, IPv6. Порт – порт подключения к почтовому серверу. От кого – адрес электронной почты отправителя сообщения. Например, kuma-aio@truecompany.local.
                          (Опционально) Если при подключении к почтовому серверу необходимо пройти аутентификацию в поле Service.Секрет выберите или создайте секрет типа credentials, в котором будут указаны учетные данные для подключения к SMTP-серверу.

                          image236.png

                          Для просмотра остальных событий в таблице можно воспользоваться «горячими клавишами» - стрелка вниз/вверх.

                          Настройка таблицы событий

                          В KUMA поддерживается настройка отображаемого набора столбцов полей событий и порядок их отображения (пресет). Выбранную конфигурацию столбцов можно сохранить.

                          Например, необходимо, чтобы для событий Linux всегда отображались столбцы полей TenantID, Timestamp, DeviceProduct, DeviceAddress, DeviceEventCategory, DestinationProcessName и DeviceCustomString6.

                          Для создания пресета:

                            В разделе События нажмите на значок image.png. В открывшемся окне на вкладке Столбцы полей событий выберите необходимые поля (см. выше). Для упрощения поиска можно начать набирать название поля в области Поиск.

                            image238.png

                              Чтобы сохранить выбранные поля, нажмите Сохранить текущий пресет. В открывшемся окне Новый пресет укажите Название пресета и выберите Тенант в раскрывающемся списке.

                              image239.png

                              • Нажмите Сохранить.

                              ПресетСоединение созданс иSMTP-сервером сохранен. Сохраненные пресеты доступны при нажатии на значок во вкладке Пресеты.настроено.

                              Группировка событий

                              image411.png

                              ПослеДля получениятого, спискачтобы событийпользователи частосмогли возникаетполучать потребностьсообщения разделитьэлектронной полученныепочты событияот KUMA также необходимо в карточке пользователей установить флажок Получать уведомления по группам,почте. чтобыДля локализовать событие информационной безопасности. В KUMA есть возможность сгруппировать события по одному или нескольким полям для полученного списка событий.

                              Чтобы сгруппировать события:этого:

                              • В разделе События нажмите на заголовок столбца, по которому необходимо выполнить группировку иПерейдите в контекстном меню выберитераздел ДобавитьПараметры GROUP BY→ в запросПользователи. Вы можете выбрать последовательно несколько столбцов для группировки, поля будут автоматически добавлены в строку запроса.

                              image240.png

                                После того как вы выбрали нужные столбцы, нажмите Выполнить запрос. В результате будет выполнена группировка событий по заданным полям. Найденные группы будут отображаться в разделе Группы.

                                image241.png

                                Отображение доступно в виде таблицы и в виде карточек. Вы можете переключаться между режимами отображения. Можно переходить по группам и просматривать содержимое каждой группы.

                                Фильтры

                                Для сохранения часто используемых поисковых запросов применяется механизм фильтров. При сохранении фильтра сохраняются также настроенные параметры поискового запроса: фильтр по периоду, конструктору запросов и отображаемые столбцы полей событий.

                                Чтобы сохранить текущие настройки фильтра, запроса и периода:

                                  В разделе События нажмите на значок image242.png и выберите Сохранить текущий фильтр.

                                  image243.png

                                    В открывшемся окне в поле Название введите название фильтра. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать создаваемый фильтр. Нажмите Сохранить.

                                    image244.png

                                    Конфигурация фильтра сохранена.

                                    Для проверки сохраненной конфигурации фильтра:

                                      Примените поисковый запрос по умолчанию 
                                      SELECT * FROM `events` ORDER BY Timestamp DESC LIMIT 250
                                        Нажмите на значок image245.png   и перейдите во вкладку Пресеты. Нажмите на Пресетпользователя, подля умолчанию.которого необходимо настроить получение уведомлений. Измените параметры временного диапазона на 5 минут. Набор столбцов полей событий, таблица событий, временной диапазон вернутся к виду по умолчанию.

                                        Чтобы применить ранее сохраненную конфигурацию фильтра:

                                          В разделе События нажмите на значок image.png  и выберите нужный фильтр.

                                          image246.png

                                            Выбранная конфигурация фильтра станет активна: в поле поиска отобразится сохраненный поисковый запрос, в верхней части окна применятся настроенные параметры периода, частоты обновления результатов поиска. Для отправки поискового запроса нажмите на кнопку Выполнить запрос.

                                            image247.png

                                            Обратите внимание, что набор столбцов полей событий также изменился.

                                            Если нажать на значок image.png  рядом с названием сохраненной конфигурации фильтра, данный фильтр станет использоваться в качестве фильтра по умолчанию.

                                            Другие пользователи KUMA также могут использовать сохраненные фильтры при условии, что у них есть соответствующие права доступа.

                                            Получение статистики по событиям в таблице

                                            Вы можете получить статистику по текущей выборке событий, отображаемой в таблице событий.

                                            Чтобы получить статистику:

                                              В разделе События в правом верхнем углу таблицы событий в раскрывающемся списке image.png выберите Статистика или в таблице событий нажмите на любое значение и в открывшемся контекстном меню выберите Статистика

                                              image250.png

                                              image251.png

                                              • В появившемся окне справа отобразитсяПользователи установите флажок статистикаПолучать уведомления по почте со списком полей текущей выборки событий. Число возле каждого поля указывает на количество событий в выборке с данным полем. При раскрытии поля отображается пять наиболее частых значений. С помощью поля Поиск полей можно найти нужные поля.

                                              image252.png

                                              При нажатии на image.png или image.png напротив значения можно добавлять значение поля в поисковый запрос в качестве условия поиска событий.

                                              image255.png

                                              Экспорт событий

                                              Из KUMA можно экспортировать информацию о событиях в TSV-файл. Выборка событий, которые будут экспортированы в TSV-файл, зависит от используемого поискового запроса и диапазона времени. Информация экспортируется из столбцов, которые в момент экспорта отображаются в таблице событий.

                                              Чтобы экспортировать информацию о событиях:

                                                В разделе События нажмите на кнопку image256.png. . После этого в разделеНажмите Диспетчере задачСохранить. будет создана новая задача экспорта TSV-файла.

                                                image257.pngimage412.png

                                                  Сгенерируйте

                                                  Найдитетестовый созданнуюалерт задачу(см. Раздел Просмотр информации об алерте).
                                                  Убедитесь, что на почтовый ящик пользователя пришло почтовое сообщение с уведомлением о созданном алерте.

                                                  image413.png

                                                  Вместо стандартных уведомлений KUMA о создании алертов (как на скриншоте выше) можно рассылать уведомления на основании пользовательских шаблонов. Подробнее:
                                                  https://support.kaspersky.ru/kuma/4.0/233518

                                                  Также в разделеKUMA Диспетчерподдерживается задач.

                                                  отправка Когда файл будет готов к загрузке,уведомлений в строкеTelegram:
                                                  Статья задачионлайн-справки «Отправка уведомлений в столбцеTelegram»:
                                                  https://support.kaspersky.ru/kuma/4.0/258846

                                                  Community-скрипт Статусс отобразитсярасширенными статусвозможностями Завершеноуведомлений и значокуправления через Telegram:
                                                  image.pnghttps://github.com/KUMA-Community/kuma_telebot.                                                   Нажмите на название типа задачи и в раскрывающемся списке выберите Загрузить.

                                                  image259.png

                                                    TSV-файл с информацией о событиях будет загружен с использованием настроек вашего браузера. Имя файла по умолчанию: event-export-<date>_<time>.tsv.
                                                    Back to top