Программа просмотра событий

В этом разделе:

См. соответствующее видео (10:12)

Для открытия диалога "События" перейдите в меню Вид и выберите Управление приложениямиСобытия . Иначе вы можете выбрать Показать события в редакторе конфигураций Управление приложениями.

Данные событий будут собираться после того, как компьютер будет выполнять проверку по интервалам, указанным в общих настройках политики агентов. Если вы пожелаете получить данные до этой проверки, перейдите в Вид > Компьютеры > выделите компьютеры и нажмите правой кнопкой мыши, а затем выберите Application Control > Получить события, и процесс немедленно выполнит задание.

В диалоге Показать события отображаются все события Управление приложениями, как это настроено в Управление приложениямиредакторе конфигураций > События > Выбор/Фильтрация.

Используйте этот вид для запуска запросов по конкретным созданным событиям аудита для Управление приложениями.

Отображение запросов

Вы можете выполнять запросы для следующих предварительно определенных событий или создавать особые запросы:

  • Все типы событий
  • Запрещенные исполняемые файлы
  • Разрешенные исполняемые файлы
  • Самоавторизация
  • Управление привилегиями
  • Обнаружение привилегий
  • Самоповышение доверия
  • Управление браузером

Выполнить запрос - выберите для запуска выполнения запроса. Если вид, фильтры или включенные типы событий были изменены, вы должны повторить запрос для обновления результатов.

После запуска запроса вы можете настроить вид для группирования, фильтрации или сортировки событий, а результаты можно экспортировать в формате CSV.

Существует несколько способов настройки вида:

  • Применяйте фильтры для поиска событий.
  • Используйте функцию Поиск для отображения только тех событий, которые соответствуют вашим критериям поиска.
  • Изменяйте порядок расположения столбцов, щелкнув заголовок любого из них и переместив в новое местоположение.
  • Сортируйте информацию в столбце в возрастающем и убывающем порядке, нажав заголовок столбца.
  • Применяйте другие расширенные фильтры к одному или нескольким столбцам. Поместите указатель мыши на заголовок столбца и затем нажмите значок фильтра, находящийся в верхнем правом углу.

Сохранить - выберите для сохранения любых изменений особого запроса.

Сохранить как - сначала нужно выбрать Выполнить запрос для активации параметра Сохранить как. Выберите для сохранения результатов в виде нового особого запроса - введите имя запроса, и оно появится в раскрывающемся списке "Вид".

Управлять - выберите для отображения списка всех специальных запросов, в котором вы можете выбрать запрос для переименования или удаления.

Включенные типы событий

Доступные типы событий зависят от выбранного Вида.

Полный список события для Управление приложениями можно найти здесь: Доступные события.

Если вы используете специальный вид, вы можете выбрать включаемые типы событий, используя элемент Изменить для отображения диалога выбора.

Запомните, какие включенные типы событий изменены, и вам нужно выполнить запрос еще раз.

Фильтры

Вы можете изменить запрос с помощью следующего:

  • Временной диапазон - используется для выбора диапазона времени: 10 минут, 1 час, 6 часов, 24 часа, неделя или месяц. Этот параметр также используется для создания особого периода времени.
  • Пользователь - отображает только события, созданные для конкретного пользователя.
  • Компьютер - отображает только события, созданные с использованием конкретных имен компьютеров или имен клиентов.
  • Только сводка - применяется только к видам запрещенных и разрешенных исполняемых файлов. Если выбрано, результаты группируются по путям файлов и идентификаторам событий.

Не забудьте запустить запрос еще раз после обновления любого из фильтров.

Поиск

Чтобы начать поиск, нужно ввести искомый текст и нажать Найти. Будут отображены только события, которые соответствуют критерию поиска – все другие будут скрыты.

Если поле поиска не отображено, нажмите правой кнопкой мыши в заголовке столбца вида "Результаты" и в контекстном меню выберите Показать панель поиска.

Результаты

Результаты запроса отображаются на нижней панели после выбора Выполнить запрос.

Перечисленные события можно перемещать, копировать и вставлять для создания элементов правил, а именно, путей файлов, имен файлов, папок или хэширования файлов для следующего:

  • Коллекции правил
  • Наборы правил > Управление исполняемыми файлами > Разрешено/Запрещено
  • Наборы правил > Управление привилегиями > Приложения/Самоповышение доверия

Экспорт данных - выберите для экспорта данных текущего вида в формате CSV - вы можете выбрать экспорт данных только текущих выбранных или всех столбцов.

Показывать редактор фильтров - выберите для добавления фильтров к результатам запроса.

Выберите столбец - выберите для настройки того, какие столбы будут отображаться в результатах запроса.

Контекстное меню результатов

Нажмите правой кнопкой мыши в заголовке столбца для отображения контекстного меню, в котором можно выполнить ряд дополнительных действий.

Родственные темы

События управления приложениями

Обслуживание базы данных