Управление журналом задач Discovery#
Для управления журналом служат команды контекстного меню:
В дереве консоли Cyber Protego Центральная консоль управления раскройте узлы Search and Discovery Server → Сервер Discovery → Задачи Discovery, и щелкните правой кнопкой мыши Журнал задач Discovery под узлом Задачи Discovery.
В дереве консоли Cyber Protego Центральная консоль управления Выберите Search and Discovery Server → Сервер Discovery → Журнал задач Discovery и щелкните правой кнопкой мыши какую-либо запись в списке событий на панели сведений.
В контекстном меню предоставляются следующие команды управления журналом (рядом с названием команды показана кнопка панели инструментов, соответствующая этой команде):
Настройки — Просмотреть или изменить параметры, ограничивающие максимальное число записей в журнале (см. "Чтобы просмотреть или изменить настройки журнала задач Discovery" ниже).
Сохранить — Сохранить журнал в указанный файл.
Удалить — Удалить выбранные записи.
Копировать строку – Копировать содержимое выделенной строки журнала в буфер обмена.
Обновить
— Обновить список событий с учетом последних изменений.Фильтр
— Отображать только записи о событиях, которые удовлетворяют заданным условиям (см. "Чтобы настроить фильтр журнала задач Discovery" ниже).Быстрые фильтры — Выбор одного из следующих вариантов для просмотра записей за определенный промежуток времени:
Текущий день
Текущая неделя
Текущий месяц
Текущий год
Для отмены примененного быстрого фильтра выберите тот же вариант фильтра еще раз или используйте команду Удалить фильтр.
Обычный фильтр, включенный командой Фильтр, делает невозможным применение быстрых фильтров и отменяет имеющийся быстрый фильтр (если он был применен). Чтобы задействовать быстрые фильтры, отключите обычный фильтр (например, при помощи команды Удалить фильтр).
Удалить фильтр
— Показать все записи, отключив примененный фильтр.Удалить все
— Удалить все записи о событиях, имеющиеся в журнале на данный момент.Эта команда добавляет в журнал запись об удалении, указывающую, сколько записей было удалено, а также кто выполнил удаление и с какого компьютера.
Чтобы просмотреть или изменить настройки журнала задач Discovery
Выберите команду Настройки в контекстном меню.
Просмотрите или измените настройки журнала в появившемся диалоговом окне.
Предусмотрены следующие настройки журнала:
Контролировать размер журнала — Установите этот флажок, чтобы разрешить серверу контролировать количество записей в журнале и удалять устаревшие записи. Если этот флажок не установлен, сервер использует все доступное пространство базы данных для хранения журнала.
Сохранять события за последние <число> дней — Выберите этот параметр, чтобы хранить записи не старше определенного количества дней. Затем задайте нужное количество дней. Значение по умолчанию — 365 дней.
Максимальный размер: <число> записей — Выберите этот параметр, чтобы хранить не более определенного количества записей. Затем укажите нужное количество записей и выберите действие сервера, которое будет выполняться, когда журнал достигнет максимального размера:
Затирать старые события по необходимости — Новые записи событий продолжают сохраняться при достижении максимального размера журнала. Каждая запись нового события заменяет собой самую старую запись в журнале.
Затирать события старше <число> дней — Новые записи событий заменяют собой только записи, хранящиеся дольше заданного количества дней. Поддерживаемая настройка - до 32 767 дней.
Не затирать события (очистка журнала вручную) — При достижении максимального размера журнала новые записи событий не добавляются. Чтобы обеспечить их добавление, необходимо очистить журнал вручную.
Важно
Если в журнале нет места для новых записей, а настройки журнала не позволяют удалить старые записи, сервер не будет добавлять новые записи в журнал.
Чтобы использовать размер журнала по умолчанию, выберите параметр Максимальный размер и нажмите кнопку Восстановить умолчания. В результате будут установлены следующие настройки:
Максимальный размер: 10 000 записей
Затирать события старше 7 дней
Чтобы настроить фильтр журнала задач Discovery
Выберите команду Фильтр в контекстном меню.
Просмотрите или измените параметры фильтра в появившемся диалоговом окне.
Предусмотрены фильтры двух типов:
Включить — Отображать в списке только события, удовлетворяющие условиям, заданным на вкладке Включить. Чтобы настроить и применить эти условия, установите флажок Включить фильтр на вкладке Включить.
Исключить — Не отображать в списке события, удовлетворяющие условиям, заданным на вкладке Исключить. Чтобы настроить и применить эти условия, установите флажок Включить фильтр на вкладке Исключить.
Для временного отключения фильтра снимите флажок Включить фильтр.
Примечание
Значок рядом с именем вкладки становится зеленым, если фильтр на данной вкладке включен. В противном случае цвет этого значка серый.
Когда фильтр включен, можно определить условия фильтрации, задав необходимые значения в следующих полях:
Типы событий — Фильтрация по типу событий. Возможны следующие варианты (установите соответствующие флажки):
Успех — Задача или операция завершена успешно.
Информация — Выполнено определенное действие.
Предупреждение — Возможны осложнения или ошибки, если не предпринять никаких действий.
Ошибка — Произошла ошибка.
Строковые поля, служащие для включения или исключения из списка событий, у которых в указанном поле данных встречается заданная строка. Например, для фильтрации событий по имени задачи, вызвавшей событие, укажите строку фильтра в поле Имя задачи. Для фильтрации событий с определенными номерами, введите номера искомых событий в поле ID события, используя точку с запятой в качестве разделителя.
Доступны следующие строковые поля:
ID события — Идентификационный номер события.
Имя задачи — Имя задачи сканирования и обнаружения, вызвавшей событие.
Расположение — Имя ресурса, связанного с событием.
Действие — Действие, выполненное задачей сканирования с обнаруженным контентом.
Можно выбрать действие из списка:
Алерт — Отправка тревожного оповещения об обнаруженном контенте.
Оповестить — Оповещение текущего пользователя посредством системного уведомления (отображается в области уведомлений панели задач Windows).
Протоколировать — Запись информации об обнаруженном контенте в журнал задач сервера Discovery.
Удалить — Удаление обнаруженного контента.
Удалить (Безопасное удаление) — Удаление с использованием безопасной процедуры уничтожения данных, определенной стандартом US DoD 5220.22-M.
Установить разрешения — Установка определенных разрешений файловой системы для обнаруженных файлов.
Шифровать — Шифрование обнаруженного контента с помощью технологии Windows EFS (Encrypted File System).
Имя — Имя обнаруженного файла.
Причина — Причина возникновения события.
Можно выбрать причину из списка:
Выполнено — Завершение задачи сканирования и обнаружения.
Ошибка контентно-зависимых правил — Ошибка при применении правила обнаружения контента.
По запросу — Запуск задачи сканирования и обнаружения вручную.
По расписанию — Запуск задачи сканирования и обнаружения по расписанию.
Правило — Применение правила обнаружения контента.
Информация — Описание события, включая описание действий и ошибок.
Права доступа — Права доступа к обнаруженному файлу.
Подразделение — Имя подразделения, в котором произошло событие.
Примечание
Чтобы облегчить настройку фильтра, строковые поля запоминают ранее вводившиеся данные и подставляют подходящие строки по мере ввода с клавиатуры. История введенных значений доступна в раскрывающемся списке параметров поля.
Дата/Время генерации - В этой области диалогового окна можно задать фильтр по дате и времени события:
С— Начало временного интервала событий для фильтрации. Возможные значения: Первой записи (значение по умолчанию) и Записи от. Выберите Первой записи, чтобы фильтровать события, начиная с самого раннего по дате/времени генерации. Выберите Записи от, чтобы фильтровать события, произошедшие не ранее определенной даты и времени.
По — Конец временного интервала событий для фильтрации. Возможные значения: Последнюю запись (значение по умолчанию) и Записи от. Выберите Последнюю запись, чтобы фильтровать события, заканчивая самым поздним по дате/времени генерации. Выберите Записи от, чтобы фильтровать события, произошедшие не позднее определенной даты и времени.
Дата/Время сбора - В этой области диалогового окна можно задать фильтр по дате и времени получения события сервером Discovery:
С— Начало временного интервала событий для фильтрации. Возможные значения: Первой записи (значение по умолчанию) и Записи от. Выберите Первой записи, чтобы фильтровать события, начиная с самого раннего по дате/времени сбора. Выберите Записи от, чтобы фильтровать события, полученные сервером не ранее определенной даты и времени.
По — Конец временного интервала событий для фильтрации. Возможные значения: Последнюю запись (значение по умолчанию) и Записи от. Выберите Последнюю запись, чтобы фильтровать события, заканчивая самым поздним по дате/времени сбора. Выберите Записи от, чтобы фильтровать события, полученные не позднее определенной даты и времени.
Настраивая фильтр, учитывайте следующее:
Условия фильтра объединяются по И, так что запись соответствует фильтру, если она соответствует каждому условию фильтра. Оставляйте пустыми поля, которые не должны использоваться в условиях фильтра.
В строковых полях фильтра допускаются знаки подстановки, такие как звездочка и вопросительный знак. Звездочка (*) обозначает любую (в том числе пустую) группу символов. Вопросительный знак (?) обозначает любой одиночный символ.
В любом строковом поле фильтра можно указать несколько значений, разделяя их точкой с запятой (;). Значения в этом случае объединяются по ИЛИ, так что запись соответствует условию фильтра по данному полю, если она соответствует хотя бы одному из указанных в этом поле значений.
Кнопка Удалить все в диалоговом окне Фильтр позволяет удалить все ранее заданные условия и начать настройку нового фильтра с нуля.
Кнопки Сохранить и Загрузить в диалоговом окне Фильтр служат для сохранения условий фильтра в файл и загрузки ранее сохраненных условий из файла.