Формат SYSLOG

Формат записи журнала событий в syslog

Каждая запись журнала событий MITIGATOR состоит из префикса BIFIT_Mitigator[] и содержательной части, описывающей событие. Содержательная часть имеет формат JSON и включает три обязательных поля и ряд необязательных, состав которых зависит от типа события. Все возможные поля описаны в таблице Поля записи журнала событий.

Все системные события перечислены в таблице События.

Для ряда событий предусмотрено расширение формата описания. Для таких событий в записи журнала будет присутствовать поле «custom», содержащее JSON-объект со специфичным для события набором полей. Перечень таких типов событий и состав полей приведены в разделе Расширенные поля.

Описание событий и расширенных полей доступно также в виде JSON-файла (скачать) — для автоматизации разбора syslog-событий.

Пример записи события

Apr 7 15:59:43 10.50.0.3 BIFIT_Mitigator[1]: {"created_at":"2023-04-07T12:59:43.738089Z","type_id":"auth_login","type":"Logged in","user_id":1,"user_login":"admin","firstname":"System","surname":"Administrator","user_ip":"10.50.0.1","user_role":"System administrator"}

Пример записи события с расширенным набором полей

Apr 7 16:00:19 10.50.0.3 BIFIT_Mitigator[1]: {"created_at":"2023-04-07T13:00:19.630366Z","type_id":"config_change","type":"Countermeasure settings were changed","user_id":1,"user_login":"admin","firstname":"System","surname":"Administrator","user_ip":"10.50.0.1","user_role":"System administrator","policy_id":1,"policy_name":"Default","element":"TCP Connection Rate Blocking","element_id":"crb","handler":"Countermeasure settings","custom_type":"diff","custom":{"averaging_period_calculation":{"new":"100","old":"1"},"block_ip":{"new":"true","old":"false"},"block_time":{"new":"3000","old":"300"},"limit_crb":{"new":"10","old":""}}}

Поля записи журнала событий

Поле Тип Назначение Комментарии
instance_id uint Идентификатор экземпляра
instance_name string Название экземпляра
created_at time Время фиксации события Время на сервере MITIGATOR по UTC. Обязательное поле.
type_id string Идентификатор типа события Обязательное поле.
type string Название типа события Обязательное поле.
user_id uint Идентификатор пользователя, совершившего действие Информация о пользователе присутствует для событий, которые возникают в результате действий пользователя. Действия системы автодетектирования фиксируются с идентификатором пользователя «3».
user_login string Логин пользователя
firstname string Имя пользователя Для действий системы автодетектирования указывается значение «Autodetection».
surname string Фамилия пользователя Для действий системы автодетектирования указывается значение «System».
user_ip string IP-адрес устройства, с которого выполнен вход
user_role string Роль пользователя в системе
user_group string Название группы пользователя Присутствует только для групповых пользователей.
policy_id uint Идентификатор политики защиты
policy_name string Название политики защиты
is_ipv6 boolean Признак IPv6 политики защиты
element string Название контрмеры
element_id uint Идентификатор контрмеры
handler string Группа параметров Указание на группу изменившихся параметров.
value string Новое значение параметра Устаревшее поле. В следующих версиях поле будет упразднено. Изменившиеся значения параметров записываются в поле custom.
custom_type string Тип custom Указывает тип custom. От типа зависит набор содержащихся в custom полей. Возможные значения custom_type перечислены в разделе «Расширенные поля (custom)».
custom string Расширенная информация о событии Содержит набор специфичных для типа события дополнительных полей, расширяющих описание события.

Примечание: Значение типа time передаются в формате Internet Date/Time согласно RFC 3339 с точностью до микросекунды.
Пример: 2019-08-24T11:54:48.780948Z

События

Событие Название Custom
acl_write Обновлены правила фильтрации
aclset_update Обновлен именованный набор правил фильтрации aclset_update
aclset_update_failed Не удалось обновить правила фильтрации в контрмере после обновления именованного набора правил фильтрации
add_by_tuple Добавлен IP-адрес по параметрам пакета
attack_off Отключена политика защиты по сигналу syslog
attack_on Включена политика защиты по сигналу syslog
attack_start Получен сигнал включения политики защиты по syslog
attack_stop Получен сигнал отключения политики защиты по syslog
auth_login Вошел в систему auth
auth_logout Вышел из системы
auth_temporary_errors Внешние ошибки входа auth_temporary_errors
autodetect_alert_down Трафик опустился ниже порога autodetect_alert_down
autodetect_alert_up Трафик поднялся выше порога autodetect_alert_up
autodetect_cm_delete Удалены переменные
autodetect_cm_update Обновлены переменные
autodetect_license_threshold_crossed_down Входящий трафик опустился ниже лицензионной полосы autodetect_alert_down
autodetect_license_threshold_crossed_up Входящий трафик поднялся выше лицензионной полосы autodetect_alert_up
autodetect_off Отключено автодетектирование
autodetect_on Включено автодетектирование
autodetect_reset Сброшены данные
autodetect_timing_policy_update Обновлены тайминги автодетекта для политики
autodetect_timing_update Обновлены тайминги автодетекта
automitigation_off Автоматическое включение защиты запрещено
automitigation_on Автоматическое включение защиты разрешено
autopcap_failed Автозахват пакетов завершен с ошибкой packetCapture_send
autopcap_send_failed Отправка результатов автозахвата пакетов не удалась packetCapture_send
autopcap_send_succeeded Результаты автозахвата пакетов отправлены packetCapture_send
autopcap_settings Изменены настройки автозахвата пакетов
autopcap_start Запущен автозахват пакетов
autopcap_stop Остановлен автозахват пакетов
autotune_finished Автоподбор порогов завершился autotune_finished
autotune_started Автоподбор порогов запущен autotune_started
autotune_stopped Автоподбор порогов прерван
backend_become_leader Backend стал лидером
backend_start Запущен Backend
backend_stop Остановлен Backend
background_delete Удален фон страницы входа
background_update Обновлен фон страницы входа
bgp_announce Отправка BGP-анонса
bgp_announce_off Выключено анонсирование префиксов политики по BGP autodetect_alert_up
bgp_announce_on Включено анонсирование префиксов политики по BGP autodetect_alert_up
bgp_blackhole_hpd_off Выключена blackhole-фильтрация IP-адресов политики по BGP, полученных из HPD autodetect_alert_up
bgp_blackhole_hpd_on Включена blackhole-фильтрация IP-адресов политики по BGP, полученных из HPD autodetect_alert_up
bgp_blackhole_ips_off Выключена blackhole-фильтрация IP-адресов по BGP, полученных с коллектора autodetect_alert_up
bgp_blackhole_ips_on Включена blackhole-фильтрация IP-адресов по BGP, полученных с коллектора autodetect_alert_up
bgp_blackhole_rules_off Выключена blackhole-фильтрация префиксов политики по BGP autodetect_alert_up
bgp_blackhole_rules_on Включена blackhole-фильтрация префиксов политики по BGP autodetect_alert_up
bgp_community_add Создан список коммьюнити для анонса
bgp_community_delete Удалён список коммьюнити для анонса
bgp_community_update Обновлён список коммьюнити для анонса
bgp_config_change Изменены параметры BGP-соединения
bgp_established Установлено BGP-соединение bgp_neighbor
bgp_flow_switch_off Отключено использование порогов по Flow
bgp_flow_switch_on Включено использование порогов по Flow
bgp_flowspec_add Создан список флоуспек-правил для анонса
bgp_flowspec_delete Удалён список флоуспек-правил для анонса
bgp_flowspeclist_announced Списки FlowSpec добавлены в анонс bgp_prefixlist
bgp_flowspeclist_withdrawed Списки FlowSpec сняты с анонса bgp_prefixlist
bgp_flowspecs_update Обновлен список FlowSpec-правил
bgp_idle Разорвано BGP-соединение bgp_neighbor
bgp_neighbor_add Добавлен BGP-сосед
bgp_neighbor_delete Удален BGP-сосед
bgp_neighbor_update Изменены параметры BGP-соседа
bgp_policy_edit Изменены параметры политики анонса
bgp_policy_settings_change Изменены настройки BGP-анонсирования из политики
bgp_prefixes_add Создан список сетей для анонса
bgp_prefixes_delete Удалён список сетей для анонса
bgp_prefixes_update Обновлён список сетей для анонса
bgp_prefixlist_announced Списки префиксов добавлены в анонс bgp_prefixlist
bgp_prefixlist_withdrawed Списки префиксов сняты с анонса bgp_prefixlist
bgp_signaling_hpd_off Выключена signaling-фильтрация IP-адресов политики по BGP, полученных из HPD autodetect_alert_up
bgp_signaling_hpd_on Включена signaling-фильтрация IP-адресов политики по BGP, полученных из HPD autodetect_alert_up
bgp_signaling_ips_off Выключена signaling-фильтрация IP-адресов по BGP, полученных с коллектора autodetect_alert_up
bgp_signaling_ips_on Включена signaling-фильтрация IP-адресов по BGP, полученных с коллектора autodetect_alert_up
bgp_signaling_rules_off Выключена signaling-фильтрация префиксов политики по BGP autodetect_alert_up
bgp_signaling_rules_on Включена signaling-фильтрация префиксов политики по BGP autodetect_alert_up
bpf_program_delete Программа удалена
bpf_program_upload Программа загружена
bypass_mode Установлен режим работы
carbon_connected Соединение с carbonapi установлено
carbon_disconnected Соединение с carbonapi разорвано
certificate_add Добавлен TLS-сертификат
certificate_delete Удален TLS-сертификат
certificate_edit Изменен TLS-сертификат
challenger_configure_failed Произошла ошибка конфигурирования проверяющего сервера challengers_group
challenger_group_add Группа проверяющих серверов добавлена
challenger_status_available Проверяющий сервер стал доступен challengers_group
challenger_status_unavailable Проверяющий сервер стал недоступен challengers_group
challengers_group_delete Группа проверяющих серверов удалена
challengers_group_edit Группа проверяющих серверов изменена
challengers_group_incomplete Проверяющие сервера заданы не для всех активных экземпляров challengers_group
collector_carpet_bombing_params_update Обновлены настройки детектирования ковровых атак коллектора
collector_connected Соединение с коллектором установлено collector_status_update
collector_delete Коллектор удален
collector_detect_rules_updated Изменены правила детектирования на коллекторе
collector_disconnected Соединение с коллектором разорвано collector_status_update
collector_license_set_limit Лицензионная полоса на коллекторе изменена
collector_license_token_delete Удален лицензионный ключ на коллекторе
collector_license_token_update Обновлен лицензионный ключ на коллекторе
collector_new Добавлен коллектор
collector_out_of_sync_off Коллектор вышел из состояния out-of-sync collector_custom_out_of_sync_off
collector_out_of_sync_on Коллектор перешел в состояние out-of-sync collector_custom_out_of_sync_on
collector_reinit Запущена переинициализация коллектора
collector_update Обновлены настройки коллектора
config_auto_change Автоматически изменены настройки контрмеры
config_change Изменены параметры контрмеры autodetect_meta, diff, game_version, rts_settings
connection_monitoring_reset Сброшена таблица мониторинга соединений
connreqtable_reset Сброшена таблица отслеживаемых соединений и запросов для всех политик
conntable_reset Сброшена таблица отслеживаемых соединений
cpu_profiling_start Запущен сбор информации о работе процессора
cpu_profiling_stop Остановлен сбор информации о работе процессора
dataplane_out_of_sync Рассинхронизация настроек экземпляров click_fail
dataplane_profiling_start Профайлинг запущен
dataplane_profiling_stop Профайлинг остановлен
dataplane_restore Переинициализирован обработчик пакетов
dataplane_restore_countermeasures Переинициализированы контрмеры в обработчике пакетов
dataplane_start Соединение с обработчиком пакетов установлено
dataplane_stop Соединение с обработчиком пакетов разорвано
delete_ftls_lists Удален именованный список JA3/JA4-отпечатков diff
delete_iplists Удален именованный список IP-адресов diff
deploy_garp_updated Изменены параметры отправки Gratuitous ARP
deploy_mssp Переключён выключатель GRE MSSP
deploy_set Изменен способ интеграции в сеть
deploy_settings Изменена схема деплоя
diffs_updated Обновлены настройки очистки журналов
dnat_entries_update Обновлены параметры трансляции
dnat_table_clear Сброшена таблица трансляции в политике
dnat_table_clear_all Сброшена таблица трансляции во всех политиках
dns_not_available Ошибка определения адресов в DNS resolver_errors
dns_update Обновлены IP-адреса домена в контрмере
dns_update_failed Не удалось обновить IP-адреса домена в контрмере
droplog_settings_update Изменены параметры отправки информации о сбросах в syslog
droplog_v4_switch_disable Отключена отправка информации о сбросах IPv4-трафика в syslog
droplog_v4_switch_enable Включена отправка информации о сбросах IPv4-трафика в syslog
droplog_v6_switch_disable Отключена отправка информации о сбросах IPv6-трафика в syslog
droplog_v6_switch_enable Включена отправка информации о сбросах IPv6-трафика в syslog
exporter_create Источник flow добавлен
exporter_delete Источник flow удален
exporter_update Источник flow обновлен
external_auth_settings Параметры внешней аутентификации изменены
failed_auth_login Неудачная попытка входа в систему auth
feed_token_update Feed-токен обновлен
fingerprint_allow_add Загружен список разрешенных отпечатков
fingerprint_allow_delete Удален список разрешенных отпечатков
fingerprint_auto_delete Удален список автоматически собранных отпечатков
fingerprint_autoallow_delete Автоматически собранный список разрешенных удален
fingerprint_autobl_delete Автоматически собранный черный список удален
fingerprint_bl_add Загружен черный список отпечатков
fingerprint_bl_delete Удален черный список отпечатков
fingerprint_collection_attack Запущен сбор выборки атаки
fingerprint_collection_finished Закончен сбор отпечатков
fingerprint_collection_start Запущен сбор отпечатков
fingerprint_collection_stop Остановлен сбор отпечатков
fingerprint_wl_add Загружен белый список отпечатков
fingerprint_wl_delete Удален белый список отпечатков
flow_notification_off Выключено сбрасывание префиксов амплификации по BGP autodetect_alert_up
flow_notification_on Включено сбрасывание префиксов амплификации по BGP autodetect_alert_up
flow_rules_updated Обновлены правила учета флоу в политиках
forwards_update Настройки проброса flow-пакетов обновлены
ftls_list_update Обновлен именованный список JA3/JA4-отпечатков ftlslist_update
ftls_list_update_failed Не удалось обновить JA3/JA4-отпечатки в контрмере после обновления именованного списка JA3/JA4-отпечатков
geolite2_action Задан тип действия над трафиком
geolite2_change Переопределены значения в базе данных геолокации geolite_asns_change, geolite_countries_change
geolite2_delete_changes Удалены переопределенные значения в базе данных геолокации geolite_prefix_delete
geolite2_selections Задан список стран
geolite2_update Загружена база данных геолокации geolite_version_change
geolite2_update_fail Не удалось загрузить базу данных геолокации geolite_version_change
group_create Создана группа
group_delete Удалена группа
group_prefix_change Изменен префикс группы
group_role_create Создана групповая роль
group_role_delete Удалена групповая роль
group_role_update Изменена групповая роль
group_update Обновлена группа
group_user_create Создана учетная запись группового пользователя
group_user_delete Удалена учетная запись группового пользователя diff
group_user_update Изменена учетная запись группового пользователя
hca_challenger_update_failed Не удалось установить проверяющий сервер для HCA challenger
heap_profiling_start Запущен сбор информации о памяти
heap_profiling_stop Остановлен сбор информации о памяти
host_not_available В DNS отсутствуют доменные имена resolver
hpa_enabled Адресная защита начата
hpd_added_detected Добавлены адреса в список адресной защиты
hpd_diff_detected Изменены адреса в списке адресной защиты hpd
hpd_removed_detected Удалены адреса из списка адресной защиты
hwbypass_disabled Отключен аппаратный байпас
hwbypass_enabled Включен аппаратный байпас
hwbypass_wdt_enabled Аппаратный байпас переведён в режим сторожевого таймера
ignored_policies_update Исключенные политики защиты коллектора обновлены
incident_comment Отредактирован комментарий инцидента
incident_off Завершение инцидента incident_off
incident_on Начало инцидента incident_on
incident_tags Изменены теги инцидента
incident_update Обновлены данные инцидента
instance_change Настройки экземпляра изменены
ip_list_update_error Не удалось обновить именованный список IP-адресов
ipall_reset Сброшена таблица аутентифицированных IP-адресов для всех политик
iplist_update Обновлен именованный список IP-адресов diff, iplist_update
iplist_update_failed Не удалось обновить IP-адреса в контрмере после обновления именованного списка IP-адресов
ipsession_reset Сброшена таблица сессий и аутентифицированных IP-адресов
ipset_add Добавлены значения в список IP-адресов ipset_change
ipset_remove Удалены значения из списка IP-адресов ipset_change
ipset_reset Сброшен список IP-адресов ipset_change
ipset_settings Обновлены параметры прогрессивной блокировки
ipset_update Обновлен список IP-адресов
iptable_reset Сброшена таблица аутентифицированных IP-адресов
isn_key_delete Удален секретный ключ для ISN
isn_key_set Установлен секретный ключ для ISN
isn_servers Установлены IP-адреса серверов с синхронизацией
isn_settings Изменены параметры синхронизации сессии
leader_giveup Экземпляр прекратил лидировать
leader_order_set Задан порядок выбора экземпляра-лидера
learning_list_clear Очищена таблица обучения
learning_off Отключено обучение
learning_on Включено обучение
learning_reset Сброшена статистика обучения
learning_start Запущено обучение
license_bandwidth_limit_expired Время действия лицензионных лимитов закончилось
license_change Изменён режим лицензирования
license_dynamic_limit Лицензионная полоса изменена динамически license_dynamic_limit
license_server_check_failed Не удалось выполнить проверку лицензии на сервере лицензирования
license_server_check_success Успешно выполнена проверка лицензии на сервере лицензирования
license_set_limit Лицензионная полоса изменена
license_tariff_expired Время действия тарифа истекло
license_tariff_expiring Время действия тарифа подходит к концу
license_token_delete Удалён лицензионный ключ
license_token_update Обновлен лицензионный ключ
license_upload_limit Загружен лицензионный файл
log_level_set Изменён уровень логирования
logan_alert Получено оповещение от анализатора логов logan_alert
logan_config Изменен адрес анализатора логов
logan_connected Соединение с анализатором логов установлено logan
logan_create Добавлен анализатор логов
logan_delete Удален анализатор логов
logan_disconnected Соединение с анализатором логов разорвано logan
logan_rules Изменены правила анализа логов
logan_switch_off Отключен анализатор логов
logan_switch_on Включен анализатор логов
logan_update Изменен анализатор логов
logo_delete Удален логотип
logo_update Обновлен логотип
logs_capture_start Запущен захват логов
logs_capture_stop Остановлен захват логов
mail_update Обновлены настройки почтового сервера
manual_report_sent Отчет по инцидентам отправлен manual_report
mdp_switch_disable Отключена активная синхронизация
mdp_switch_enable Включена активная синхронизация
mdp_update Изменены параметры активной синхронизации
memory_save_disabled Отключен режим экономии памяти
memory_save_enabled Включен режим экономии памяти
mitigation_off Отключена система защиты
mitigation_on Включена система защиты
mo_boundary_created Создана граница сети
mo_boundary_deleted Удалена граница сети
mo_boundary_updated Изменена граница сети
mo_entity_save_failed Ошибка сохранения сущности объектов мониторинга mo_entity_save_failed
mo_object_created Создан объект мониторинга
mo_object_deleted Удален объект мониторинга
mo_object_updated Изменен объект мониторинга
mo_rule_created Создано правило определения интерфейсов
mo_rule_deleted Удалено правило определения интерфейсов
mo_rule_updated Изменено правило определения интерфейсов
monitor_mode_off Отключен тестовый режим контрмеры
monitor_mode_on Включен тестовый режим контрмеры
multi_conflict Возник конфликт лидерства экземпляров
named_set_auto_change Обновлены значения именованного набора в контрмере
named_set_auto_change_failed Не удалось обновить значения именованного набора в контрмере
new_aclset Создан именованный набор правил фильтрации diff
new_ftls_lists Создан именованный список JA3/JA4-отпечатков diff
new_iplists Создан именованный список IP-адресов diff
not_available_aclset Недоступен источник именованного набора правил фильтрации aclset_update
not_available_ftls_lists Недоступен источник именованного списка JA3/JA4-отпечатков ftlslist_update
not_available_iplists Недоступен источник именованного списка IP-адресов iplist_update
notification_update Обновлена подписка на уведомления
nspda_config Изменен адрес НСПА
nspda_job_abort Отменено задание очистки
nspda_job_apply Применено задание очистки
nspda_job_create Создано задание очистки
nspda_job_delete Удалено задание очистки
nspda_policy_create Создана политика защиты НСПА
nspda_policy_delete Удалена политика защиты НСПА
nspda_policy_update Изменены параметры политики защиты НСПА
nspda_report_config Изменены параметры отправки данных об инцидентах
nspda_report_failed Отправка данных об инцидентах не удалась nspda_message
nspda_report_success Данные об инцидентах отправлены
nspda_report_switch_off Выключена отправка данных об инцидентах
nspda_report_switch_on Включена отправка данных об инцидентах
nspda_rule_update Изменены параметры правила маршрутизации НСПА
nspda_server_connected Соединение с НСПА установлено nspda_message
nspda_server_disconnected Соединение с НСПА разорвано nspda_message
nspda_switch_off Отключена Облачная защита
nspda_switch_on Включена Облачная защита
password_policy_change Изменена парольная политика
password_policy_forbidden_removed Изменена парольная политика: удалён файл с запрещёнными паролями
password_policy_forbidden_uploaded Изменена парольная политика: загружен файл с запрещёнными паролями
pcap_failed Захват пакетов завершен с ошибкой packetCapture_send
pcap_send_failed Отправка результатов захвата пакетов не удалась packetCapture_send
pcap_send_succeeded Результаты захвата пакетов отправлены packetCapture_send
pcap_start Запущен захват пакетов
pcap_stop Остановлен захват пакетов
perimeter_add Создан новый объект Периметр perimeter_settings
perimeter_bl В Периметр передан черный список
perimeter_delete Удален объект Периметр perimeter_settings
perimeter_mititgation_start В Периметр отправлен запрос митигации perimeter_settings
perimeter_mititgation_start_recv Митигация запущена в Периметре
perimeter_mititgation_stop В Периметр отправлен запрос остановки митигации perimeter_settings
perimeter_mititgation_stop_recv Митигация остановлена в Периметре
perimeter_switch_off Отключено подключение к Периметру perimeter_settings
perimeter_switch_on Включено подключение к Периметру perimeter_settings
perimeter_update Изменены настройки объекта Периметр perimeter_settings
perimeter_wl В Периметр передан белый список
pgfailover_connect Соединение с pgfailover установлено
pgfailover_disconnect Соединение с pgfailover разорвано
pgfailover_issue_detected Обнаружена проблема в работе кластера базы данных pgfailover_issue
pgfailover_switch_disable Отключен опрос pgfailover
pgfailover_switch_enable Включен опрос pgfailover
pgfailover_sync Работа кластера баз данных восстановлена
policies_ipv4_settings_changed Изменены параметры подсчета трафика из внутренней сети в политиках IPv4 policies_settings_change
policies_ipv6_settings_changed Изменены параметры подсчета трафика из внутренней сети в политиках IPv6 policies_settings_change
policy_add Создана политика защиты
policy_delete Удалена политика защиты
policy_edit Изменены параметры политики защиты
policy_memory_save_disabled Отключен режим экономии памяти
policy_memory_save_enabled Включен режим экономии памяти
policy_monitor_mode Изменение тестового режима работы политики защиты
policy_monitor_mode_off Отключен тестовый режим политики защиты
policy_monitor_mode_on Включен тестовый режим политики защиты
policy_notification_update Обновлена подписка на уведомления по политикам
policy_off Отключена политика
policy_on Включена политика
policy_pipeline_changed Изменен порядок применения контрмер
policy_rename Название политики изменено
port_down Отключен сетевой порт port
port_up Включен сетевой порт port
prefix_limiter_delete Удалены значения
prefix_limiter_drops_trigger Отослано уведомление drops_trigger
prefix_limiter_reset Список ограничений очищен
prefix_limiter_reset_drops Сброшены счетчики
prefix_limiter_reset_drops_stats Сброшена статистика
prefix_limiter_set Добавлены значения
prefix_limiter_updated Обновлены значения
put_aclset Изменен именованный набор правил фильтрации diff
put_ftls_lists Изменен именованный список JA3/JA4-отпечатков diff
put_iplists Изменен именованный список IP-адресов diff
rem_aclset Удален именованный набор правил фильтрации diff
reqtable_reset Сброшена таблица отслеживаемых запросов
resolver_settings_update Изменены параметры опроса DNS-сервера
rex_aliases_delete Удалены наборы правил
rex_aliases_update Обновлены наборы правил
rex_reset Сброшены настройки
rex_templates_delete Удалены шаблоны
rex_templates_update Обновлены шаблоны
rex_versions_update Обновлены версии
role_create Создана роль
role_delete Удалена роль
role_update Изменена роль
router_ext_off Разорвано соединение с внешним роутером deploy
router_ext_on Установлено соединение с внешним роутером deploy
router_int_off Разорвано соединение с внутренним роутером deploy
router_int_on Установлено соединение с внутренним роутером deploy
rts_analysis_error Ошибка при анализе geolite_version_change
rts_reference_add Эталонный дамп добавлен
rts_reference_delete Эталонный дамп удалён
rts_reference_start Запущен захват эталонного дампа
rts_reference_stop Остановлен захват эталонного дампа
rts_start Запущена генерация сигнатур
rts_start_error Не удалось запустить анализ, отсутствует эталонный трафик
rts_stop Остановлена генерация сигнатур
rules_autoupdate Автоматически изменены правила маршрутизации
rules_update_common Обновлены групповые правила маршрутизации rules_change
rules_update_post Обновлены Пост-правила маршрутизации rules_change
rules_update_pre Обновлены Пред-правила маршрутизации rules_change
scan Зафиксирован сброс трафика
scan_detected Обнаружено сканирование scanners
scheduled_report_add Создан регулярный отчет scheduled_report
scheduled_report_delete Удалён регулярный отчет scheduled_report
scheduled_report_sent Регулярный отчет отправлен scheduled_report
scheduled_report_sent_failed Не удалось отправить регулярный отчет scheduled_report
scheduled_report_update Обновлен регулярный отчет
session_reset Сброшена таблица сессий
sflow_v4_switch_disable Отключена отправка sFlow IPv4
sflow_v4_switch_enable Включена отправка sFlow IPv4
sflow_v4_update Изменены параметры sFlow IPv4
sflow_v6_switch_disable Отключена отправка sFlow IPv6
sflow_v6_switch_enable Включена отправка sFlow IPv6
sflow_v6_update Изменены параметры sFlow IPv6
snmp_switch_disable Отключена возможность получения метрик по SNMP
snmp_switch_enable Включена возможность получения метрик по SNMP
soft_start_aborted «Мягкий старт» прерван пользователем
soft_start_finished Завершен «Мягкий старт» softstart
soft_start_started Запущен «Мягкий старт» softstart
soft_stop_aborted «Мягкий стоп» прерван пользователем soft_stop
soft_stop_finished Завершен «Мягкий стоп» soft_stop
soft_stop_started Запущен «Мягкий стоп» soft_stop
spli_clear_learning Очищена таблица обучения
statistic_settings Изменены параметры отправки статистики
switch_off Отключена контрмера
switch_on Включена контрмера
sync_zone_create Создана зона синхронизации
sync_zone_delete Удалена зона синхронизации
sync_zone_instance_available Экземпляр доступен для зоны синхронизации sync_zone
sync_zone_instance_not_available Экземпляр недоступен для зоны синхронизации sync_zone
sync_zone_master_changed Изменился мастер зоны синхронизации sync_zone
sync_zone_update Изменена зона синхронизации
syslog_create Создан syslog сервер
syslog_delete Удален syslog сервер
syslog_notifications_update Обновлены настройки уведомлений по syslog
syslog_off Выключен удаленный syslog
syslog_on Включен удаленный syslog
syslog_update Обновлены настройки syslog сервера
table_add Добавлены значения в таблицу table_change
table_delete Удалены значения из таблицы table_change
table_reset Очищена таблица
tap_interface_off Отключено использование TAP-интерфейса
tap_interface_on Включено использование TAP-интерфейса
tap_interface_settings_change Изменены параметры использования TAP-интерфейса
tbl_global_remove Удалены значения из списка IP-адресов всех политик и общей защиты tbl_global_remove
telegram_update Обновлены настройки Telegram
tls_prot_database Загружена база правил
tls_training_aborted Обучение прервано пользователем
tls_training_failed Обучение завершено с ошибкой
tls_training_finished Обучение окончено
tls_training_started Запущено обучение
training_reset Удалены результаты обучения
type1_alert_off Снят alert type1_object
type1_alert_off_recv Alert остановлен в системе type1_object
type1_alert_on Отправлен alert type1_object
type1_neigbor_add Создан новый сосед
type1_neigbor_delete Удалён сосед
type1_neigbor_update Обновлён сосед
type1_objects_add Добавлен объект мониторинга соседа
type1_objects_delete Удалён объект мониторинга соседа
type1_objects_update Обновлён объект мониторинга соседа
type1_policy_prefixes_off Выключено наполнение префиксов из политик autodetect_meta
type1_policy_prefixes_on Включено наполнение префиксов из политик autodetect_meta
user_create Создана учетная запись пользователя
user_delete Удалена учетная запись пользователя
user_update Изменена учетная запись пользователя
vestochka_update Обновлены настройки Весточки
waf_add WAF добавлен
waf_delete WAF удалён
waf_edit WAF изменён

Расширенные поля

Обозначения типов:

Тип Описание
string Строка
int Целое число
uint Целое число без знака
float Число, возможно дробное
boolean true или false
time Дата и время строкой в формате RFC 3339, например 2019-08-24T11:54:48.780948Z
object Вложенный объект: его поля перечислены следующими строками, имя — через точку от родителя (extra.n)
array[T] Список значений типа T
any Произвольное значение
T? Знак вопроса после типа: поле необязательное, его может не быть в записи

aclset_update

События: aclset_update, not_available_aclset

Поле Тип Описание
aclset_id uint Идентификатор набора
aclset_name string Название
aclset_source string? Источник
aclset_type string Тип
aclset_url string? URL
aclset_error string? Ошибка

auth

События: auth_login, failed_auth_login

Поле Тип Описание
user_login_tag string Логин пользователя
user_ip_tag string IP-адрес пользователя
error string Ошибка

auth_temporary_errors

События: auth_temporary_errors

Поле Тип Описание
auth_temporary_errors_list string Временные ошибки
username string Логин

autodetect_alert_down

События: autodetect_alert_down, autodetect_license_threshold_crossed_down

Поле Тип Описание
autodetect_alert_created_at time Время события
autodetect_alert_alert boolean Событие
autodetect_alert_flow string Параметр автодетектирования
autodetect_alert_threshold float Заданный порог срабатывания
autodetect_alert_value float Зафиксированное значение

autodetect_alert_up

События: autodetect_alert_up, autodetect_license_threshold_crossed_up, bgp_announce_off, bgp_announce_on, bgp_blackhole_hpd_off, bgp_blackhole_hpd_on, bgp_blackhole_ips_off, bgp_blackhole_ips_on, bgp_blackhole_rules_off, bgp_blackhole_rules_on, bgp_signaling_hpd_off, bgp_signaling_hpd_on, bgp_signaling_ips_off, bgp_signaling_ips_on, bgp_signaling_rules_off, bgp_signaling_rules_on, flow_notification_off, flow_notification_on

Поле Тип Описание
autodetect_alert_created_at time Время события
autodetect_alert_alert boolean Событие
autodetect_alert_flow string Параметр автодетектирования
autodetect_alert_threshold float Заданный порог срабатывания
autodetect_alert_value float Зафиксированное значение

autodetect_meta

События: config_change, type1_policy_prefixes_off, type1_policy_prefixes_on

Поле Тип Описание
reasons array[object]
context object
context.policy_input_pps float
context.policy_input_bps float
context.policy_drop_pps float
context.policy_drop_bps float
context.policy_pass_pps float
context.policy_pass_bps float

autotune_finished

События: autotune_finished

Поле Тип Описание
error string Ошибка

autotune_started

События: autotune_started

Поле Тип Описание
test_duration uint Длительность проверки порогов
apply_when_finished boolean Применить значения по завершении

bgp_flowspeclist

Поле Тип Описание
bgp_neighbor_id uint Идентификатор BGP-соседа
bgp_neighbor_name string Название
bgp_flowspeclist_name string Списки флоуспек-правил

bgp_neighbor

События: bgp_established, bgp_idle

Поле Тип Описание
bgp_neighbor_id uint Идентификатор BGP-соседа
bgp_neighbor_name string Название
bgp_neighbor_address string IP-адрес
bgp_as int Номер ASN

bgp_prefixlist

События: bgp_flowspeclist_announced, bgp_flowspeclist_withdrawed, bgp_prefixlist_announced, bgp_prefixlist_withdrawed

Поле Тип Описание
bgp_neighbor_id uint Идентификатор BGP-соседа
bgp_neighbor_name string Название
bgp_prefixlist_name string Списки префиксов

challenger

События: hca_challenger_update_failed

Поле Тип Описание
challenger_management_addresses array[string]
challenger_status boolean
challenger_status_error string?

challengers_group

События: challenger_configure_failed, challenger_status_available, challenger_status_unavailable, challengers_group_incomplete

Поле Тип Описание
challengers_group_id uint Идентификатор группы проверяющих серверов
challengers_group_name string Название группы проверяющих серверов

click_fail

События: dataplane_out_of_sync

Поле Тип Описание
request string Запрос
method string HTTP метод
error string Ошибка

collector_custom_out_of_sync_off

События: collector_out_of_sync_off

Поле Тип Описание
collector_name string Название коллектора
collector_address string Адрес коллектора

collector_custom_out_of_sync_on

События: collector_out_of_sync_on

Поле Тип Описание
collector_name string Название коллектора
collector_address string Адрес коллектора
mo_error string Ошибка
mo_entity_type string Тип сущности

collector_status_update

События: collector_connected, collector_disconnected

Поле Тип Описание
collector_name string Название коллектора
collector_address string Адрес коллектора

deploy

События: router_ext_off, router_ext_on, router_int_off, router_int_on

Поле Тип Описание
deploy_router_id uint Идентификатор
deploy_mode uint
vlan_ext int Внешний Vlan ID
vlan_int int Внутренний Vlan ID

diff

События: config_change, delete_ftls_lists, delete_iplists, group_user_delete, iplist_update, new_aclset, new_ftls_lists, new_iplists, put_aclset, put_ftls_lists, put_iplists, rem_aclset

Поле Тип Описание
<параметр> object Имя
<параметр>.new string
<параметр>.old string

drops_trigger

События: prefix_limiter_drops_trigger

Поле Тип Описание
Drops array[object]
Drops.drops_prefix string IP-адрес получателя
Drops.drops_limit_packets uint Ограничение в пакетах в секунду
Drops.drops_limit_bits uint Ограничение в битах в секунду
Drops.drops_triggered_packets boolean Активно ограничение в пакетах
Drops.drops_triggered_bits boolean Активно ограничение в битах
Drops.drops_active_time uint Общая продолжительность работы ограничений
Drops.drops_last_time time Время последнего срабатывания ограничения
Drops.drops_first_time time Время первого срабатывания ограничения
Drops.drops_packets uint Число срабатываний ограничения в пакетах
Drops.drops_bytes uint Число срабатываний ограничения в битах
Drops.drops_total uint Общее число срабатываний ограничений

flow_notification_off

Поле Тип Описание
autodetect_alert_created_at time Время события
autodetect_alert_alert boolean Событие
autodetect_alert_flow string Параметр автодетектирования
autodetect_alert_threshold float Заданный порог срабатывания
autodetect_alert_value float Зафиксированное значение

flow_notification_on

Поле Тип Описание
autodetect_alert_created_at time Время события
autodetect_alert_alert boolean Событие
autodetect_alert_flow string Параметр автодетектирования
autodetect_alert_threshold float Заданный порог срабатывания
autodetect_alert_value float Зафиксированное значение

ftlslist_update

События: ftls_list_update, not_available_ftls_lists

Поле Тип Описание
ftlslist_id uint Идентификатор списка
ftlslist_name string Название
ftlslist_type string Тип
ftlslist_source string? Источник
ftlslist_url string? URL
ftlslist_error string? Ошибка

game_version

События: config_change

Поле Тип Описание
game_version uint Версия протокола

geolite_asns_change

События: geolite2_change

Поле Тип Описание
ASN array[object]
ASN.new_as string Назначенная AS
ASN.new_asn int Назначенная ASN
ASN.prefixes array[string] IP адреса и подсети

geolite_countries_change

События: geolite2_change

Поле Тип Описание
Countries array[object]
Countries.new_country string Назначенная страна
Countries.prefix array[string] Префикс

geolite_prefix_delete

События: geolite2_delete_changes

Поле Тип Описание
prefix string Префикс

geolite_version_change

События: geolite2_update, geolite2_update_fail, rts_analysis_error

Поле Тип Описание
version string Версия
updated_at time Обновлено
error string Ошибка
inserted int Загружено значений

group_changeSet

Фиксированной структуры нет (object) — состав полей зависит от события.

hpd

События: hpd_diff_detected

Поле Тип Описание
added_ips string? Добавленные IP-адреса получателя
removed_ips string? Удаленные IP-адреса получателя
detected_at time Время обнаружения

incident_off

События: incident_off

Поле Тип Описание
incident_id uint Идентификатор инцидента
incident_started_at time Время начала
incident_finished_at time Время завершения
incident_duration uint Длительность
incident_countermeasures string Контрмеры
incident_type string Тип
incident_max_input_pps uint Максимальная скорость входящего трафика в пакетах
incident_max_input_bps uint Максимальная скорость входящего трафика в байтах
incident_max_drop_pps uint Максимальная скорость сброшенного трафика в пакетах
incident_max_drop_bps uint Максимальная скорость сброшенного трафика в байтах
incident_max_pass_pps uint Максимальная скорость прошедшего трафика в пакетах
incident_max_pass_bps uint Максимальная скорость прошедшего трафика в байтах

incident_on

События: incident_on

Поле Тип Описание
incident_id uint Идентификатор инцидента
incident_started_at time Время начала
incident_max_input_pps uint Максимальная скорость входящего трафика в пакетах
incident_max_input_bps uint Максимальная скорость входящего трафика в байтах
incident_max_drop_pps uint Максимальная скорость сброшенного трафика в пакетах
incident_max_drop_bps uint Максимальная скорость сброшенного трафика в байтах
incident_max_pass_pps uint Максимальная скорость прошедшего трафика в пакетах
incident_max_pass_bps uint Максимальная скорость прошедшего трафика в байтах
incident_rules object Правила инцидента
incident_rules.rules array[object] Правила маршрутизации
incident_rules.rules.ModelBase object
incident_rules.rules.ModelBase.id uint ID
incident_rules.rules.incident_id uint Идентификатор инцидента
incident_rules.rules.type_id uint Тип
incident_rules.rules.policy_id uint Политика
incident_rules.rules.is_default boolean? По умолчанию
incident_rules.rules.is_active boolean Правило включено
incident_rules.rules.number uint Номер
incident_rules.rules.dst_prefix object Префикс получателя
incident_rules.rules.src_prefix object Префикс отправителя
incident_rules.rules.protocol object Протокол
incident_rules.rules.dst_port object Порт получателя
incident_rules.rules.src_port object Порт отправителя

iplist_update

События: iplist_update, not_available_iplists

Поле Тип Описание
iplist_id uint Идентификатор списка
iplist_name string Название
iplist_type string Тип
iplist_error string? Ошибка
iplist_source string? Источник
iplist_url string? URL

ipset_change

События: ipset_add, ipset_remove, ipset_reset

Поле Тип Описание
changed_prefixes string IP адреса и подсети

ipset_item

Поле Тип Описание
items string Элементы

license_dynamic_limit

События: license_dynamic_limit

Поле Тип Описание
previous_limit uint Предыдущее значение полосы
current_limit uint Новое значение полосы

license_limit

Поле Тип Описание
bandwidth uint?
dynamic object?
dynamic.enable boolean
dynamic.up_threshold int
dynamic.down_threshold int
dynamic.hold_duration int
dynamic.min_bandwidth uint Минимум используемой полосы
dynamic.max_bandwidth uint? Максимум используемой полосы
previous_limit uint Предыдущее значение полосы
current_limit uint Новое значение полосы

logan

События: logan_connected, logan_disconnected

Поле Тип Описание
id uint ID
name string Имя
address string Адрес

logan_alert

События: logan_alert

Поле Тип Описание
id uint? ID
name string? Имя
address string? Адрес
token string? Токен
ips string IP-адреса
policy_description string Политика
metrics string Метрики

manual_report

События: manual_report_sent

Поле Тип Описание
journal boolean Журнал событий
blocked_addresses boolean Заблокированные IP-адреса
blocked_tls boolean Блокировки IP-адресов
collector_tops boolean Статистика по Flow
verbose_report boolean Детальный отчет по каждому инциденту
delivery_type int Способ получения
group_id int Идентификатор группы
report_countermeasures string Контрмеры
type string Тип
comment string Комментарий
from time Время начала выборки
to time Время конца выборки
policy_ids array[uint] Идентификаторы политик
tags array[uint] Тэги

mo_entity_save_failed

События: mo_entity_save_failed

Поле Тип Описание
mo_entity_name string Сущность
mo_action string Действие
mo_errors array[string] Ошибки

nspda_message

События: nspda_report_failed, nspda_server_connected, nspda_server_disconnected

Поле Тип Описание
nspda_message string Причина

packetCapture_send

События: autopcap_failed, autopcap_send_failed, autopcap_send_succeeded, pcap_failed, pcap_send_failed, pcap_send_succeeded

Поле Тип Описание
policy_id_tag uint Идентификатор политики защиты
policy_name_tag string Название политики защиты
user_id_tag uint Идентификатор пользователя
user_tag string Пользователь
settings_tag object Настройки
settings_tag.size_tag int Размер
settings_tag.acl_tag string ACL
settings_tag.rex_tag string REX
settings_tag.ja3_tag array[string] Ja3
settings_tag.ja4_tag array[string]
settings_tag.in_tag boolean IN
settings_tag.out_tag boolean OUT
settings_tag.back_tag boolean BACK
settings_tag.drop_tag boolean DROP
settings_tag.merge_tag boolean MERGE
settings_tag.instances_tag array[uint] Экземпляры
files array[string] Файлы
telegram_ids array[object] Telegram IDs
email array[string] Email
fileservers array[string] Файловый сервер
fileserver_paths array[string]

perimeter_settings

События: perimeter_add, perimeter_delete, perimeter_mititgation_start, perimeter_mititgation_stop, perimeter_switch_off, perimeter_switch_on, perimeter_update

Поле Тип Описание
perimeter_id uint Идентификатор Периметра
perimeter_name string Название Периметра

pgfailover_issue

События: pgfailover_issue_detected

Поле Тип Описание
issue_details string Детали

policies_settings_change

События: policies_ipv4_settings_changed, policies_ipv6_settings_changed

Поле Тип Описание
enable_int_counter string Включить счетчики трафика из внутренней сети

policy_monitor_mode

Поле Тип Описание
policy_id int Политика
monitor_mode int Тестовый режим работы контрмеры

port

События: port_down, port_up

Поле Тип Описание
ports string Список портов

ratelimiter_settings

Поле Тип Описание
pps boolean
bps boolean
limit_pps int Пороговое число пакетов
limit_bps int
refill_interval int Интервал пополнения

resolver

События: host_not_available

Поле Тип Описание
resolver_hosts array[string] Доменные имена

resolver_errors

События: dns_not_available

Поле Тип Описание
resolver_errors array[string] Ошибки DNS

role_changeSet

Фиксированной структуры нет (object) — состав полей зависит от события.

rts_error

Поле Тип Описание
error string Ошибка

rts_settings

События: config_change

Поле Тип Описание
rts_settings_id uint Идентификатор настроек
rts_settings_apply boolean Применить полученные правила

rules_change

События: rules_update_common, rules_update_post, rules_update_pre

Поле Тип Описание
rules_diff string Изменения правил маршрутизации
version string Версия

scanners

События: scan_detected

Поле Тип Описание
Scanners array[object]
Scanners.scanner_ip string IP сканера
Scanners.scanner_first_time time Первое обнаружение
Scanners.scanner_last_time time Последнее обнаружение
Scanners.instance_id uint Идентификатор экземпляра
Scanners.instance_name string Название экземпляра
Scanners.as_number string Номер AS
Scanners.as_name string Название AS
Scanners.country string Страна
Scanners.city string Город

scheduled_report

События: scheduled_report_add, scheduled_report_delete, scheduled_report_sent, scheduled_report_sent_failed

Поле Тип Описание
report_id uint Идентификатор отчёта
group_id uint Идентификатор группы
all_policies boolean Все политики
policy_id array[int] Политика
report_group_id int Отчет по политикам группы
emails array[string] Emails
telegram_ids array[object] Telegram IDs
fileservers array[string] Файловый сервер
report_period string Период отчёта

soft_stop

События: soft_stop_aborted, soft_stop_finished, soft_stop_started

Поле Тип Описание
soft_stop_period int Время работы в режиме «Мягкий стоп»

softstart

События: soft_start_finished, soft_start_started

Поле Тип Описание
soft_start_period int Время работы в режиме «Мягкий старт»

sync_zone

События: sync_zone_instance_available, sync_zone_instance_not_available, sync_zone_master_changed

Поле Тип Описание
sync_zone_id uint Идентификатор зоны
sync_zone_name string Название зоны

table_change

События: table_add, table_delete

Поле Тип Описание
table_changed_values array[string] Значения по ключу

tbl_global_remove

События: tbl_global_remove

Поле Тип Описание
prefixes array[string] IP адреса и подсети

type1_object

События: type1_alert_off, type1_alert_off_recv, type1_alert_on

Поле Тип Описание
type1_object_id uint Идентификатор объекта
type1_object_name string Название объекта мониторинга

userInfo_changeSet

Фиксированной структуры нет (object) — состав полей зависит от события.