事件和事件分类

本节提供有关事件和事件分类、Kaspersky Security Center 云控制台组件中发生的事件类型以及管理频繁事件阻止的信息。

关于 Kaspersky Security Center 云控制台中的事件

Kaspersky Security Center 云控制台允许您接收受管理设备上安装的管理服务器和 Kaspersky 应用程序在操作期间发生的事件信息。事件信息保存在管理服务器数据库。您可以导出这些信息到外部 SIEM 系统。导出事件信息到外部 SIEM 系统使 SIEM 系统管理员可以快速响应发生在受管理设备或设备组上的安全系统事件。

按类型划分的事件

Kaspersky Security Center 云控制台中有以下类型的事件：

• 常规事件。这些事件发生在所有受管理 Kaspersky 应用程序中。常规事件的一个示例是病毒爆发常规事件具有严格定义的语法和语义。常规事件用于报告和仪表板等方面。
• 受管理 Kaspersky 应用程序特定事件。每个受管理 Kaspersky 应用程序都拥有自己的事件集。

按来源划分的事件

您可以在应用程序策略的“事件配置”选项卡上查看应用程序可以生成的事件的完整列表。对于管理服务器，您还可以在管理服务器属性中查看事件列表。

以下应用程序可以生成事件：

• Kaspersky Security Center 云控制台组件：
  • 管理服务器
  • 网络代理
• 受管理的卡巴斯基应用程序

  有关受管理的卡巴斯基应用程序生成的事件的详细信息，请参阅相应应用程序的文档。

按重要性级别划分的事件

每个事件都有自己的重要级别。取决于发生的条件，一个事件可以被分配不同的重要级别。四个事件重要级别如下：

• 严重事件指示发生了可能导致数据丢失、操作系统异常或严重错误的严重问题。
• 功能失败指示在应用程序操作中或执行过程中发生了严重问题、错误或功能异常。
• 警告是不严重的事件，但是也指示了今后可能发生的潜在问题。如果在事件发生后应用程序可以被恢复而不丢失数据或功能，则这些事件是警告级别。
• 信息事件用于提示成功完成操作、应用程序的正常功能或完成了某过程。

每个事件都有一个存储期限，在这时间内您可以在 Kaspersky Security Center 云控制台中查看或修改。一些事件默认下不保存在管理服务器数据库，因为它们的存储期限是零。仅可以在管理服务器数据库中保存至少一天的事件可以被导出到外部系统。

Kaspersky Security Center 云控制台组件事件

每个 Kaspersky Security Center 云控制台组件都拥有自己的事件类型集。本节列出了 Kaspersky Security Center 云控制台管理服务器和网络代理中发生的事件类型。Kaspersky 应用程序中发生的事件类型不在此区域列出。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。对于管理服务器，您还可以在管理服务器属性中查看和配置事件列表。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

事件类型描述的数据结构

对于每个事件类型，它的显示名称、ID、字母码、描述和默认存储期限被提供。

• 事件类型显示名称。该文本当您配置事件时和它们发生时被显示在 Kaspersky Security Center 云控制台中。
• 事件类型 ID。该数码在您使用第三方工具分析事件时使用。
• 事件类型（字母码）。当您使用 Kaspersky Security Center 云控制台数据库中提供的公共视图浏览​​和处理事件时，将使用此代码。
• 描述。该文本包含事件发生的情况以及此种情况下您可以做的事。
• 默认存储期限。这是事件存储在管理服务器数据库的天数，显示在管理服务器事件列表中。该时间段之后，事件被删除。如果事件存储期限值是 0，此类事件被检测但不显示在管理服务器事件列表。

管理服务器事件

该部分包含管理服务器相关事件信息。

管理服务器严重事件

该表显示具有“严重”重要性级别的 Kaspersky Security Center 云控制台管理服务器事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。对于管理服务器，您还可以在管理服务器属性中查看和配置事件列表。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

管理服务器严重事件

管理服务器功能失败事件

该表显示具有“功能失败”重要性级别的 Kaspersky Security Center 云控制台管理服务器事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。对于管理服务器，您还可以在管理服务器属性中查看和配置事件列表。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

管理服务器功能失败事件

管理服务器警告事件

该表显示具有“警告”重要性级别的 Kaspersky Security Center 云控制台管理服务器事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。对于管理服务器，您还可以在管理服务器属性中查看和配置事件列表。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

管理服务器警告事件

管理服务器信息事件

该表显示具有“信息”重要性级别的 Kaspersky Security Center 云控制台管理服务器事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。对于管理服务器，您还可以在管理服务器属性中查看和配置事件列表。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

管理服务器信息事件

网络代理事件

该部分包含管网络代理相关事件信息。

网络代理功能失败事件

下表显示具有“功能失败”严重级别的 Kaspersky Security Center 网络代理事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

网络代理功能失败事件

网络代理警告事件

下表显示具有“警告”严重级别的 Kaspersky Security Center 网络代理事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

网络代理警告事件

网络代理信息事件

下表显示具有“信息”严重级别的 Kaspersky Security Center 网络代理事件。

对于应用程序可以生成的每个事件，您可以在应用程序策略的事件配置选项卡上指定通知设置和存储设置。如果想要一次为所有事件配置通知设置，请在管理服务器属性中配置常规通知设置。

网络代理信息事件

使用事件分类

事件分类提供了从管理服务器数据库中选择的指定事件集合的屏幕视图。这些事件集根据以下类别进行分组：

• 按重要级别—严重事件、功能失败、警告和信息事件
• 按时间—最近事件
• 按类型—用户请求和审计事件

您可以基于 Kaspersky Security Center 云控制台界面上可以配置的设置创建和查看用户定义的事件分类。

在 Kaspersky Security Center 云控制台的“监控和报告”区域中单击“事件分类”可使用事件分类。

默认下，事件分类包含 7 天内的信息。

Kaspersky Security Center 云控制台拥有默认的事件分类集：

• 不同重要级别的事件：
  • 严重事件
  • 功能失败
  • 警告
  • 信息消息
• 用户请求（受管理应用程序事件）
• 最近事件（上周）
• 审计事件

  在 Kaspersky Security Center 云控制台中，显示与工作区中的服务操作相关的审核事件。这些事件取决于卡巴斯基专家的行动。这些事件例如包括以下内容：管理服务器端口更改；管理服务器数据库备份；创建、修改和删除用户账户。

您也可以创建和配置附加用户定义分类。在用户定义分类中，您可以根据设备属性（设备名称、IP 范围和管理组）、根据事件类型和严重级别、根据应用程序和组件名称、以及根据时间间隔来筛选事件。也可以包含任务结果到搜索范围。您也可以单一搜索字段，可以输入一个词或几个词。所有属性（例如事件名称、描述、组件名称）中包含任意所输入词的事件被显示。

对于预定义和用户定义的分类，您可以限制显示事件的数量或者要搜索的记录的数量。两个选项都影响 Kaspersky Security Center 云控制台显示事件所花费的时间。数据库越大，过程越耗时。

您可以执行以下操作：

• 编辑事件分类的属性
• 生成事件分类
• 查看事件分类的详细信息
• 删除事件分类
• 从管理服务器数据库中删除事件

创建事件分类

要创建事件分类，请执行以下操作：

1. 在主菜单中，转到“监控和报告”→“事件分类”。
2. 单击添加。
3. 在打开的“新事件分类”窗口中，指定新事件分类的设置。在窗口中重复此操作。
4. 单击“保存”保存设置。

   确认窗口打开。

5. 要查看事件分类结果，请保持“转到分类结果”复选框为选中状态。
6. 单击“保存”确认事件分类创建。

如果将“转到分类结果”复选框保持选中状态，将显示事件分类结果。否则，新事件分类出现在事件分类列表。

编辑事件分类

要编辑事件分类：

1. 在主菜单中，转到“监控和报告”→ “事件分类”。
2. 选中您要编辑的事件分类旁边的复选框。
3. 单击“属性”按钮。

   事件分类设置窗口打开。

4. 编辑事件分类属性。

   对于预定义的事件分类，只能编辑以下选项卡上的属性：常规（除了分类名称）、时间和访问权限。

   对于用户定义分类，您可以编辑所有属性。

5. 单击“保存”保存设置。

编辑的事件分类显示在列表。

查看事件分类列表

要查看事件分类：

1. 在主菜单中，转到“监控和报告”→“事件分类”。
2. 选择您要启动的事件分类旁边的复选框。
3. 执行以下操作之一：
   • 如果您要在事件分类结果中配置排序，做以下：
     1. 单击重新配置排序并开始按钮。
     2. 在显示的“重新配置事件分类排序”窗口中，指定排序设置。
     3. 单击分类的名称。
   • 否则，如果想要以事件在管理服务器上的顺序查看事件列表，请单击分类名称。

事件分类结果被显示。

导出事件分类

Kaspersky Security Center 云控制台允许您将事件分类及其设置保存到 KLO 文件。您可以使用此 KLO 文件将保存的事件分类导入到 Kaspersky Security Center Windows 和 Kaspersky Security Center Linux。

请注意，您只能导出用户定义的事件分类。Kaspersky Security Center 云控制台默认集中的事件分类（预定义分类）无法保存到文件。

要导出事件分类：

1. 在主菜单中，转到监控和报告 → 事件分类。
2. 选中您要导出的事件分类旁边的复选框。

   您不能同时导出多个事件分类。如果您选择了多个分类，导出按钮将被禁用。

3. 单击“导出”按钮。
4. 在打开的“另存为”窗口中，指定事件分类文件名和路径，然后单击保存按钮。

   仅当您使用 Google Chrome、Microsoft Edge 或 Opera 时，才会显示“另存为”窗口。如果您使用其他浏览器，则事件分类文件会自动保存在“下载”文件夹。

导入事件分类

Kaspersky Security Center 云控制台允许您从 KLO 文件导入事件分类。KLO 文件包含导出的事件分类及其设置。

要导入事件分类：

1. 在主菜单中，转到监控和报告 → 事件分类。
2. 单击导入按钮，然后选择要导入的事件分类文件。
3. 在打开的窗口中，指定 KLO 文件的路径，然后单击“打开”按钮。请注意，您仅可选择一个事件分类文件。

   事件分类处理开始。

出现包含导入结果的通知。如果事件分类导入成功，您可以单击查看导入详细信息链接来查看事件分类属性。

成功导入后，事件分类会显示在分类列表中。事件分类的设置也会被导入。

如果新导入的事件分类与现有事件分类有相同的名称，则导入的分类在名称后会附加一个（<下一个序列号>）索引，例如：(1)、(2)。

查看事件详情

要查看事件详情：

1. 启动事件分类。
2. 点击所需事件的时间。

   “事件属性”窗口打开。

3. 在显示的窗口中，您可以做以下：
   • 查看关于所选事件的信息
   • 在事件分类结果中转到上一个事件和下一个事件
   • 转到发生事件的设备
   • 转到包含发生事件的设备的管理组
   • 对于任务相关事件，转到任务属性

导出事件到文件

Kaspersky Security Center 云控制台可让您将事件分类中的事件保存到 TXT 文件。

要导出事件到文件：

1. 启动事件分类。
2. 选择所需事件旁边的复选框。

   您还可以选择多个事件或整个事件分类。

3. 单击“导出到文件”按钮。

所选事件被导出到 TXT 文件。

从事件查看对象历史

从创建或修改支持修订管理的对象的事件，您可以切换到对象的修订历史。

要从事件查看对象历史：

1. 启动事件分类。
2. 选择所需事件旁边的复选框。
3. 单击修订历史按钮。

对象修订历史被打开。

记录任务和策略事件信息

本节提供有关如何最大程度地减少 Kaspersky Security Center 云控制台数据库中存储的任务和策略的事件数量的建议。默认情况下，每 1000 台设备有 100,000 个事件。如果超过此限制，新事件将覆盖旧事件。结果，关键事件可能会消失。此外，名为“Events”的管理服务器警告事件超过了数据库中事件数的限制，事件已被删除。在这些情况下，我们建议您按照本节中的说明进行操作。

因此，您将提高执行与事件分析相关的方案的速度。此外，这些建议还可以帮助您降低关键事件被大量事件覆盖的风险。

默认情况下，每个任务和策略的属性可以用于存储所有任务执行和策略强制执行的相关事件。但是，如果任务频繁运行（例如，每周运行一次以上），则事件数量可能会太大，并且事件可能会淹没数据库。此种情况下，建议选择任务设置的两个选项中的一个：

• 保存任务进度相关事件。此种情况下，Kaspersky Security Center 云控制台仅从运行任务的每个设备接收任务启动、进程和完成信息（成功、带有警告或错误）。
• 仅保存任务执行结果。此种情况下，Kaspersky Security Center 云控制台仅从运行任务的每个设备接收任务完成信息（成功、带有警告或错误）。

如果策略为大数量设备定义（例如，多于 10,000 台），事件数量可能很大且事件可能溢出数据库。此种情况下，建议在策略设置中仅选择最关键的事件并启用它们的记录。建议您禁用所有其他事件的记录。

您也可以降低任务或策略相关事件的存储期限。任务相关事件和策略相关事件的默认期限分别是 7 天和 30 天。当更改事件存储期限时，请考虑您的组织采用的工作程序以及系统管理员用以分析每个事件的时间。

如果有关组任务中间状态更改的事件和有关应用策略的事件在 Kaspersky Security Center 云控制台数据库中的所有事件中占据很大份额，建议修改事件存储设置。

删除事件

要删除一个或几个事件：

1. 启动事件分类。
2. 选择所需事件旁边的复选框。
3. 单击“删除”按钮。

所选事件被删除且无法恢复。

删除事件分类

您仅可以删除用户定义的事件分类。预定义事件分类无法被删除。

要删除一个或几个事件分类：

1. 在主菜单中，转到“监控和报告” → “事件分类”。
2. 选择您要删除的事件分类旁边的复选框。
3. 单击删除。
4. 在打开的窗口中，单击“确定”。

事件分类被删除。