Подключение Kaspersky Security for Exchange Servers (KSE)

Для подключения Kaspersky Security for Exchange Servers (KSE) используется ресивер Beats. Порядок настройки данного типа ресивера является идентичным для всех производителей.

Настройка KSE:

KSE производит запись событий в ветку (channel) Application and Services logs / Kaspersky Security for Exchange Servers.

Для подключения событий источника выполните следующие действия:

  1. Настройте запись необходимых событий KSE в Windows журналы в разделе Уведомления > Уведомления о событиях KSE. Пример настройки:

image
Рисунок 1.
image
Рисунок 2.

  1. Дополните конфигурацию Winlogbeat на всех серверах, где установлен KSE (создайте персональную или отредактируйте групповую конфигурацию) строками сбора событий из необходимого канала:

    winlogbeat.event_logs:
    - name: Kaspersky Security for Exchange Servers
        ignore_older: 72h

  2. Дождитесь обновления конфигурации агентом Alertix (15 минут) или выполните принудительный перезапуск Alertix Agent на всех серверах, где установлен KSE. События за последние 72 часа станут доступны в "Обзоре" (используйте фильтр winlog.channel:Kaspersky Security for Exchange Servers).

С описаниями кодов событий можно ознакомиться на сайте производителя по ссылке.

KSE дополнительно журналирует события с заданным уровнем детализации в файлы. Подробнее о видах журналов описано в документации производителя по ссылке.

Настройка необходимых логируемых действий в KSE, сроки хранения и другие параметры производится в разделе "Настройка" - "Диагностика" KSE.

image
Рисунок 3.

При необходимости возможно дополнительно настроить сбор данных событий модулем Filebeat. Данный способ является нестандартным и требует написания фильтров для разбора событий.