Выбор варианта сбора событий Windows

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Сбор событий Windows может выполняться одним из трех способов:

С помощью агента KUMA (WEC);
С помощью агента KUMA (WMI);
С помощью Kaspersky Endpoint Security.

Выбор способа зависит от конкретных условий и требований инфраструктуры, таких как масштаб сети, доступные ресурсы, политики безопасности и уровень экспертизы.

Использование агента KUMA (WEC) рекомендуется в следующих случаях:

Имеются свободные ресурсы для развертывания WEC-сервера или нескольких WEC-серверов (в зависимости от количества собираемых событий).
Необходима гибкая настройка собираемых типов событий (Event ID) и возможность их фильтрации.
Имеется экспертиза в настройке и управлении технологией Windows Event Forwarding (WEF).
Требуется централизованное управление сбором событий и хранение событий.

Использование агента KUMA (WMI) рекомендуется в следующих случаях:

Отсутствует возможность использовать технологию WEF для централизованного сбора событий.
Отсутствуют свободные ресурсы для развертывания WEC-сервера или нескольких WEC-серверов (в зависимости от количества собираемых событий).
Необходимо выполнить сбор событий с небольшого количества хостов (не более 500 хостов на один агент KUMA).
Имеется возможность открыть порты (135, 445, 49152-65535) на всех рабочих станциях/серверах, с которых планируется собирать события.

Использование Kaspersky Endpoint Security рекомендуется в следующих случаях:

Наличие Kaspersky Endpoint Security 12.6 и выше на рабочих станция/серверах (можно использовать комбинированный подход с одним из вариантов выше в случае неполного покрытия инфраструктуры KES'ами).
Отсутствие возможности выделения ресурсов для развертывания WEC-сервера и агента KUMA.
Необходима гибкая настройка собираемых типов событий (Event ID) и возможность их фильтрации.
Требуется централизованное управление сбором событий.

Каждый из трех вариантов требует настройки политики аудита на рабочих станциях/серверах локально или средствами GPO.