Перейти к содержанию
beelesnik

Можно создать отчет по расписанию. А вывод лога можно?

Recommended Posts

beelesnik

Добрый день.

В интерфейсе SEP консоли есть раздел Reports и закладка Scheduled reports, которую мы активно используем для создания отчетов по расписанию.

Но для получения некоторой информации (к примеру, клиенты с необновленными антивирусными базами) необходимо использовать Monitors - Logs.

Есть ли способ создания вывода информации журналов по расписанию по аналогии с отчетами?

Спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Шабуров

средствами SEPM этого сделать нельзя.

Можно использовать запрос к базе данных, и автоматически высылать результат на почту.

Пример настройки MSSQL на отправку результатов запросов можно найти здесь:

http://www.symantec.com/connect/downloads/...t-report-e-mail

Пример запроса на вывод всех клиентов с неактуальными сигнатурами может выглядеть так:

select

COMP.COMPUTER_NAME, COMP.IP_ADDR1_TEXT, name from SEM_AGENT as SA

LEFT OUTER JOIN

PATTERN PAT ON SA.PATTERN_IDX=PAT.PATTERN_IDX

LEFT OUTER JOIN

V_SEM_COMPUTER as COMP ON SA.COMPUTER_ID = COMP.COMPUTER_ID

LEFT OUTER JOIN

IDENTITY_MAP as ID_MAP ON ID_MAP.ID = SA.GROUP_ID

where

SA.AP_ONOFF!=2 and SA.DELETED='0' and MAJOR_VERSION != '5' and SA.AGENT_TYPE='105' and SA.STATUS='1' and (PAT.VERSION is NULL or PAT.VERSION < (SELECT VALUE as LatestAVAS from GUIPARMS with (NOLOCK) where PARAMETER in ('latest_av_defs')))

Если нужно сравнивать не с самыми последними обновлениями, то нужно править запрос...

Кстати, скоро IT Analytics для SEP станет бесплатным (для пользователей SPS), т.ч. можно будет пользоваться им для более удобного мониторинга SEPM.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
beelesnik
средствами SEPM этого сделать нельзя.

Можно использовать запрос к базе данных, и автоматически высылать результат на почту.

Пример настройки MSSQL на отправку результатов запросов можно найти здесь:

http://www.symantec.com/connect/downloads/...t-report-e-mail

Пример запроса на вывод всех клиентов с неактуальными сигнатурами может выглядеть так:

select

COMP.COMPUTER_NAME, COMP.IP_ADDR1_TEXT, name from SEM_AGENT as SA

LEFT OUTER JOIN

PATTERN PAT ON SA.PATTERN_IDX=PAT.PATTERN_IDX

LEFT OUTER JOIN

V_SEM_COMPUTER as COMP ON SA.COMPUTER_ID = COMP.COMPUTER_ID

LEFT OUTER JOIN

IDENTITY_MAP as ID_MAP ON ID_MAP.ID = SA.GROUP_ID

where

SA.AP_ONOFF!=2 and SA.DELETED='0' and MAJOR_VERSION != '5' and SA.AGENT_TYPE='105' and SA.STATUS='1' and (PAT.VERSION is NULL or PAT.VERSION < (SELECT VALUE as LatestAVAS from GUIPARMS with (NOLOCK) where PARAMETER in ('latest_av_defs')))

Если нужно сравнивать не с самыми последними обновлениями, то нужно править запрос...

Кстати, скоро IT Analytics для SEP станет бесплатным (для пользователей SPS), т.ч. можно будет пользоваться им для более удобного мониторинга SEPM.

Спасибо. Будем пробовать. Хотя меня и в Symantec Reporting Server тоже удивило отсутствие такого функционала...

Кстати, а есть описание структуры таблиц БД SEP? Где с ними можно ознакомиться?

Я так понимаю, что IT Analytics для SEP это оно http://baydynamics.com/Documents/ITAnalyticsSEP.pptx?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Шабуров

приложил несколько слайдов по ITA

схема базы данных здесь:

ftp://ftp.entsupport.symantec.com/pub/sup...e_SEP11.0.6.pdf

IT_Analyticsl_SEP_CUST_RUS.ppt

IT_Analyticsl_SEP_CUST_RUS.ppt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

У меня есть решение с автоматической отсылкой инцидентов. Создам темой сейчас.

http://www.anti-malware.ru/forum/index.php?showtopic=14494

Если устраивает такое решение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • santy
      а товарищ в теме, похоже имеет отношение к этой теме. https://xakep.ru/2010/12/09/54255/   LOIC (Low Orbit Ion Cannon) — приложение, разработанное
      хакерской группой 4Chan, созданное для организации DDoS атак на веб-сайты с
      участием тысяч анонимных пользователей, пользующихся программой. Атаки
      производятся на такие сайты как, например,  
    • santy
      вообще-то это со слов юзера, не факт что было именно так.   chklst & delvir автоматически не добавляются, если количество сигнатур задействованных при детектировании равно нулю. в данном случае была одна сигнатурка (потому и вышел chklst&delvir), скорее всего фолс на чистом файле, которая не была исключена, но она не попала в скрипт за счет автоматического hide file. hide %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\XCPCSYNC.OEM\SYNCSDK.209.604\TRANSLATORS\MSOL\PROFMAN64.DLL
    • PR55.RP55
      " что там у пользователя уже в базе есть никто не знает." Мало вероятно, что в базе у пользователя что есть... v4.1.7z (1.03 МБ)  Но  автоматически добавлять команду:  delvir и т.д. не стоит. Пока остаюсь при своём мнении.
    • demkd
      А она есть, поскольку ничего другого выгрузить драйвер не могло, ну а что там у пользователя уже в базе есть никто не знает. Тем более что сигнатура у него даже с глубиной совпадения 17 дает более 300 фолсов только по этому образу. uVS не выгружает ничего кроме того что прямо или косвенно указано оператором или через сигнатуры и delvir или delall/unload, никак иначе. Спасибо, исправлю, но хорошо бы еще пароль к архиву, стандартные не подходят

       
    • alamor
      Если будет говорить, что ЭЦП целая на действительно валидную подпись у файла, а не на эту интеловскую, то другое дело :). В архиве четыре подобных файла.
×