Перейти к содержанию

Recommended Posts

i386

развернут SEP 11.0.5002.333 на клиентах и SEPМ 11.0.5002.333 на сервере.

можно ли на базе этого вести журнал по всему трафику на локальных компах?

цель - понять что, когда и куда шло через сетевой интерфейс на локальной машине.

желательно поподробнее, сетевой интерфейс ведь полностью контролируется клиентом SEP,

но что-то подробного журнала на эту тему в SEPM я не нашел.

подскажите, возможно ли, или это функционал другого продукта Symantec ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy
можно ли на базе этого вести журнал по всему трафику на локальных компах?

но что-то подробного журнала на эту тему в SEPM я не нашел.

Да, можно вести практически любые журналы, касающиеся сетевой активности на клиентах. Более подробно описано здесь. Все логи с клиентов предаются на сервер SEPM, можно также просматривать их локально. Логи обычно ведутся централизованно, можно определять уровень логирования (Information, Warning и т.д.).

Будьте аккуратны с этими настройками, т.к. высокий уровень детализации быстро забивает дисковое пространство.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
i386
Да, можно вести практически любые журналы, касающиеся сетевой активности на клиентах. Более подробно описано здесь. Все логи с клиентов предаются на сервер SEPM, можно также просматривать их локально. Логи обычно ведутся централизованно, можно определять уровень логирования (Information, Warning и т.д.).

Будьте аккуратны с этими настройками, т.к. высокий уровень детализации быстро забивает дисковое пространство.

брандмауэр в SEP на базе Sygate Personal Firewall, был такой интересный бесплатный продукт, пока его не купили.

там с логами было все ОК.

посмотрел вашу ссылку, спасибо!

у меня Client Log Settings вот как настроено:

Журнал трафика

Максимальный размер = 512 КБ

Хранить в течение = 14 дней.

Период амортизатора = 7200 секунд

Простой амортизатора = 10 секунд.

Загрузить на сервер управления = Enable

Журнал пакетов

Максимальный размер = 1024 КБ

Хранить в течение = 14 дней.

Загрузить на сервер управления = Enable

Максимальный размер загружаемых данных = 100 записей.

В итоге смотрю эти журналы на клиенте - там пусто, кроме кучи одного типа записи:

"....Заблокировано Входящее IPv6 [type=0x86DD]...."

и никаких других записей про сетевую активность :(

что я не так делаю?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Polyanskiy
что я не так делаю?

Вообще чтобы журнал траффика заполнялся, нужно включить правила брандмауэра и отслеживать их выполнение.

При создании правил файерволла нужно удостовериться в том, что для этого правила включена опция "Write to Traffic log".

Тогда при срабатывании этого правила в журнале будет появляться новая запись.

Вот здесь более подробно (см. Apply the firewall policy).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
i386
Вообще чтобы журнал траффика заполнялся, нужно включить правила брандмауэра и отслеживать их выполнение.

При создании правил файерволла нужно удостовериться в том, что для этого правила включена опция "Write to Traffic log".

Тогда при срабатывании этого правила в журнале будет появляться новая запись.

точно. спасибо, что ткнули носом :)

очередной раз убеждаюсь, что SEP - нерусский продукт с нерусской логикой :) - один из его маленьких минусов

не там искал однако :)

СПАСИБО еще раз :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Vvvyg
    • akoK
      А обсуждение еще живое или форум по UVS переехал?
    • PR55.RP55
      Тема:  https://forum.esetnod32.ru/messages/forum3/topic16196/message111006/#message111006 Как видно применён твик: № 18 В итоге по логу FRST видим: HKLM\...\Policies\Explorer: [DisallowRun] 0
      HKLM\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-19\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-19\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-20\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-20\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-21-1616146017-2463400075-1735324224-1000\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-21-1616146017-2463400075-1735324224-1000\...\Policies\Explorer: [RestrictRun] 0
      HKU\S-1-5-18\...\Policies\Explorer: [DisallowRun] 0
      HKU\S-1-5-18\...\Policies\Explorer: [RestrictRun] 0 т.е. мало того, что от uVS   на данный момент БЕСПОЛЕЗЕН так ещё и создаются параметры которых  НЕ было изначально. т.е. мусор. uVS не проверяет - есть там, что, или нет. Просто вносит\добавляет свои записи. Почему uVS Бесполезен ? Достаточно посмотреть темы - на любом форуме. Антивирусы\сканеры, как правило, ещё до применения таких программ как: FRST; uVS и т.д. зачищают угрозы. Остаются внесённые в систему изменения: Правила\запреты; Папки\Каталоги; Сетевые Параметры и т.д. Какова роль uVS  ? 
    • PR55.RP55
      Пока форум не работал по ошибкам, предложениям, замечаниям публиковал здесь: https://forum.esetnod32.ru/forum8/topic15904/?PAGEN_1=5 ------------ ------------
      Образ в теме:  https://forum.esetnod32.ru/messages/forum6/topic16189/message110932/#message110932    
    • santy
      Форум открыт для доступа и комментариев и предложений. Можно продолжить по  работе с uVS здесь.
×