关于数据设置

应用程序的基本功能

• 应用程序管理员和用户的账户名称。
• 应用程序用户账户的访问权限。
• 应用程序用来连接到代理服务器的用户账户名称。
• 用于连接到 LDAP 服务器的 Keytab 文件和设置。
• 用于通过 SSO Kerberos 连接的 Keytab 文件以及用于连接到 NTLM 服务器的设置。
• 注释。
• 激活码或激活密钥（用于激活正在添加的集群节点；代码或密钥被发送到激活服务器）。
• 集群节点的 Web 服务器的公共证书。

应用程序配置

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看应用程序设置和查看用户账户的应用程序 Web 界面的用户。

用于建立 TLS 连接的私人证书

应用程序配置

/var/opt/kaspersky/ksmg/certs/

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。

• 本地特权用户账户密码的哈希值。
• MTA 过滤器设置。
• Kaspersky Security Center 和 KATA 集成设置。

应用程序配置

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• Nginx 用户可以访问正在节点之间传输的数据。

• LDAP 和其他 LDAP 属性中用户账户和联系人的名称。
• 邮件发件人和收件人的电子邮件地址。
• 邮件发件人的 IP 地址。

应用程序配置（包含应用程序设置的导出文件）

/var/opt/kaspersky/ksmg/
export_settings/

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• Nginx 用户具有读取权限。
• 有权管理设置的应用程序 Web 界面用户。

• LDAP 和其他 LDAP 属性中用户账户和联系人的名称。
• 邮件发件人和收件人的电子邮件地址。
• 邮件发件人的 IP 地址。
• 注释。

邮件处理规则和自定义列表。

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看邮件处理规则的应用程序网页界面用户。

• LDAP 和其他 LDAP 属性中用户账户和联系人的名称。
• 邮件发件人和收件人的电子邮件地址。

配置备份摘要和通知

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权管理设置的应用程序 Web 界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。

应用程序统计数据

/var/opt/kaspersky/ksmg

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看报告和监控区域的应用程序 Web 界面用户。

如果在 KSMG 设置中启用了 SNMP 协议，则 snmpd 服务和启动 snmpd 服务的用户就可以访问应用程序性能统计信息。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 电子邮件附件的名称和大小。
• 邮件主题。
• LDAP 和其他 LDAP 属性中用户账户和联系人的名称。

邮件处理事件日志

/var/opt/kaspersky/ksmg

根据应用程序用户指定的设置。

默认情况下，储存期限为3天，日志最大大小为1 GB。

达到该限制时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

/var/log/
ksmg-messages

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看邮件流量事件 权限的应用程序 Web 界面用户。

/var/log/
ksmg-important

不定。

大小达到 500 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

/var/log/
ksmg-cef-messages

不定。

大小达到5 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

• 初始化事件的用户账户名称。
• 事件所发生的节点的 IP 地址和端口。
• 事件参数。

程序事件日志

/var/opt/
kaspersky/ksmg

根据应用程序用户指定的设置。

默认情况下，存储期为 1100 天，或者日志的最大大小为 1 GB。

达到该限制时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看应用程序事件 权限的应用程序 Web 界面用户。

/var/log/
ksmg-messages

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• “kluser”用户有权访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

/var/log/
ksmg-important

不定。

大小达到 500 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。

应用程序更新数据：

• 用于下载更新的 IP 地址。
• 更新源的 IP 地址。
• 有关已下载文件和下载速度的信息。

用户账户信息：

• 管理员账户和应用程序网页界面用户账户名称。
• LDAP 和其它 LDAP 属性中的用户账户名。

跟踪文件

/var/log/
kaspersky/ksmg

不定。

当每个跟踪流的大小达到150 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在接收诊断信息时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序网页界面用户。

/var/log/ksmg-traces

不定。

当每个跟踪流的大小达到 23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

/var/log/kaspersky/extra

不定。

当每个跟踪流的大小达到 400 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。

备份

/var/opt/kaspersky/ksmg

直到备份中的邮件存储期限到期。存储期限通过 Web 界面配置。

大小达到7 GB 时，较早的记录会被删除。管理员可以更改该值。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• Postfix 用户可以在从备份发送邮件时访问邮件。
• 有权查看备份的应用程序网页界面用户。
• OpenDKIM 用户可以在从备份发送邮件时访问邮件。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。

反垃圾邮件隔离

/var/opt/
kaspersky/ksmg

直到邮件从隔离区释放。

当邮件从隔离区释放时，一些数据将用于路由该邮件。

当达到 1 GB 或 5000 个邮件的限制（这些值可以由管理员配置）后，新邮件不会放入反垃圾邮件隔离区。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看邮件队列的应用程序 Web 界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文和大小。
• 邮件控制头。
• 电子邮件附件的名称、大小和正文。
• 邮件中包含的 URL。
• 通过邮件收件人电子邮件地址查找的用户的 LDAP 用户 DN 记录。

KATA 隔离

/var/opt/
kaspersky/ksmg

直到邮件从隔离区释放。

当邮件从隔离区释放时，一些数据将用于路由该邮件。

当达到 1 GB 或 5000 个邮件的限制（这些值可以由管理员配置）后，新邮件不会放入 KATA 隔离区。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看邮件队列的应用程序 Web 界面用户。

通过网页界面连接：

• 用户的 IP 地址。
• 用户账户名称。

授权事件日志。

/var/log/secure

不超过 5 个星期。

维持周度文件轮转。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。

临时文件

• /tmp
• /tmp/ksmgtmp
• /tmp/ksmg_filter

直到应用程序重新启动。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当已处理的邮件被发送时，Postfix 用户可以访问它们。
• 当已处理的邮件被发送时，OpenDKIM 用户可以访问它们。

• 从其发起事件的计算机的 IP 地址。
• 用户的登录名和角色。
• 用户账户类型。
• 事件所发生的节点的 IP 地址和端口。
• 邮件流量处理规则的设置（包括邮件发件人和收件人的电子邮件地址或 IP 地址、邮件发件人或收件人的 LDAP:DN）。
• 应用程序的保护设置。
• 邮件的应用 ID，SMTP 邮件 ID。
• 其备份中发生与邮件相关的事件的节点的 IP 地址和端口。

审核日志

/var/log/ksmg-messages

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

/var/log/ksmg-important

不定。

大小达到 500 MB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

/var/log/ksmg-cef-messages

不定。

大小达到5 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置，也可以在接收诊断信息和记录事件时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序 Web 界面用户。

/var/opt/kaspersky/ksmg/
postgresql/

由管理员在 Web 界面中配置。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 拥有 查看审计事件 权限的应用程序 Web 界面用户。

与 Active Directory 集成

用户对象属性：

• distinguishedName
• sAMAccountName
• msDS-PrincipalName
• userPrincipalName
• canonicalName
• displayName
• cn
• primaryGroupID
• proxyAddresses
• mail
• memberOf
• msExchDelegateListLink
• Active Directory 自定义属性

联系人对象属性：

• distinguishedName
• displayName
• cn
• proxyAddresses
• mail
• memberOf

组对象属性：

• distinguishedName
• canonicalName
• objectSid
• proxyAddresses
• mail
• memberOf

• 邮件处理规则。
• 使用单点登录技术进行身份验证。
• 管理用户角色和权限或配置邮件和自定义列表处理规则时自动填充用户账户。

• /var/opt/kaspersky/
  ksmg/ldap/cache.dbm
• /var/opt/kaspersky/
  ksmg/ldap/storage

不定。

数据定期进行更新。

如果禁用和 Active Directory 进行集成，数据会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看包含账户自动完成字段的应用程序部分的应用程序 Web 界面用户。

与 Kaspersky Anti Targeted Attack Platform (KATA) 集成

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。
• 电子邮件附件的名称和正文。
• 邮件中包含的 URL。

转发要在 KATA 服务器上扫描的对象

未保存数据。

未保存数据。

无访问权限。

与 SIEM 系统集成

• 用于建立 TLS 连接的证书。
• SIEM 系统服务器的 IP 地址或主机名。

发送日志记录

• /var/opt/kaspersky/ksmg/
  postgresql/
• /etc/rsyslog.d/

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 有权管理应用程序设置的应用程序 Web 界面用户。

Web 界面与服务器端的交互

• 用于建立 TLS 连接的证书。
• 证书私钥文件。

与服务器端的安全通信。

• /var/opt/kaspersky/ksmg/
  postgresql/
• /var/opt/kaspersky/ksmg/
  certs/

不定。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 具有管理应用程序设置权限的应用程序 Web 界面的用户可以访问除私钥之外的数据。

内置邮件服务器功能

• 用于建立 TLS 连接的证书。
• 证书私钥文件。

  只有使用程序网页界面上传 SSH 公钥后才可以通过 SSH 访问文件。

• 用于 DKIM 签名的私钥。
• 用户的电子邮件地址。
• 邮件发件人的 IP 地址。

内置代理服务器设置

/etc/postfix/

/var/opt/kaspersky/

不定。

当对应设置被在应用程序网页界面中删除时，数据也会被删除。

证书被替换时，证书文件可被覆盖。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 数据被处理时，Postfix 和 OpenDKIM 用户可以访问信息的储存位置和数据。
• 有权查看可以访问私钥之外的数据的内置邮件服务器的设置的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。

内置邮件服务器的邮件队列

/var/spool/postfix

不定。

邮件送达收件人后会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在管理内置邮件服务器的邮件队列时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 当数据被处理时，Postfix 用户可以访问数据。
• 有权查看邮件队列的应用程序网页界面用户。

电子邮件信息：

• 邮件发件人的 IP 地址。
• 邮件发件人和收件人的电子邮件地址。
• 邮件主题。
• 邮件正文。
• 邮件控制头。

邮件服务器的事件日志

/var/log/maillog

不定。

大小达到23 GB 时，较早的记录会被删除。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 数据被处理时，Postfix 和 OpenDKIM 用户可以访问信息的储存位置和数据。

SSH 功能

通过 SSH 连接：

• 用户的 IP 地址。
• 用户账户名称。
• SSH 密钥指纹。

授权事件日志。

/var/log/secure

不超过 5 个星期。

维持周度文件轮转。

• 根用户有权访问信息的存储位置。
• kluser 用户有权访问信息的存储位置以及其被处理时的数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权接收诊断信息的应用程序网页界面用户。

应用程序管理员的 SSH 公钥。

内置 SSH 服务器设置

/etc/ssh/
authorized_keys

不定。

当对应设置被在应用程序网页界面中删除时，数据也会被删除。

• 根用户有权访问信息的存储位置。
• Kluser 用户有权访问信息的存储位置以及在管理内置 SSH 服务器的设置时访问数据。
• 当数据在节点之间传输或者被传输到 Web 界面时，Nginx 服务可以访问数据。
• 有权查看内置 SSH 服务器设置的应用程序网页界面用户。

• 正在被扫描的对象的校验和 (MD5, SHA2-256)
• 正在被查询信誉的 URL 地址
• 连接协议 ID 和端口号
• 反病毒数据库 ID 和用来扫描对象的反病毒数据库的条目 ID
• 签名文件证书信息（证书指纹和证书公钥的 SHA256 校验和）
• 已安装的软件的 ID 和完整版本
• 软件访问的 KSN 服务的 ID
• 提交对象进行扫描的日期和时间
• 软件组件的 ID
• 提交对象进行扫描的方案的 ID

发送 KSN 请求

/var/opt/kaspersky/ksmg/

不定。

存储条目的最大数量是 360,000。当达到限制时，最长时间没有被访问的条目将被删除。

• 安装在计算机上的操作系统的信息（类型，版本，位数）。
• 已安装的应用程序和计算机的信息（安装了应用程序的计算机的唯一 ID；计算机上应用程序安装的唯一 ID；已安装应用程序的名称、本地化、ID 和完整版本；软件的安装日期和时间）。
• 扫描对象的信息（应用程序数据库 ID 和应用程序数据库条目 ID；根据卡巴斯基分类系统，检测到的威胁的名称；校验和 (MD5, SHA256)；扫描对象的大小、名称和类型；扫描对象完整路径；对象扫描日期和时间；用户的 IP 地址；文件和 URL 扫描结果；扫描对象的元数据；扫描的 URL；引用者标头；被扫描的 URL 的校验和；扫描对象的打包程序和容器的校验和与大小；上次数据库更新的安装日期和时间；指示检测是否来自调试的标志）。
• 已扫描电子邮件的信息（邮件 ID；邮件接收时间；攻击目标（组织名称，网站）；攻击权重级别；信任级别的值；来自 SMTP 会话的发件人的 IP 地址；邮件标头信息；中间邮件传输代理的 IP 地址；来自 SMTP 会话的数据；使用的检测方法；邮件的 DKIM 签名片段；邮件发件人身份验证结果信息；DNS 服务器连接信息；垃圾邮件检测邮件信息；邮件大小（字节）；附件大小（字节）；附件的校验和和类型；主题大小（字节）；邮件编码名称；邮件是否已在反垃圾邮件隔离区中的信息；邮件的 HTML 标记信息；MIME 部分的校验和和大小；导致邮件最终进入反垃圾邮件隔离区的规则名称列表）。
• 更新程序组件的操作信息（更新程序版本；更新程序组件更新任务的完成状态；发生错误时更新程序组件更新错误的类型和 ID；更新程序组件更新任务的退出代码；更新程序组件在该组件操作期间执行更新任务时的崩溃次数）。
• 应用程序组件操作期间发生的错误信息（遇到错误的应用程序组件信息；错误类型 ID；组件操作报告片段）。
• 统计数据包的版本信息，统计数据收集开始的日期和时间，统计数据收集结束的日期和时间。
• 应用程序使用授权许可的信息（授权许可 ID、提供授权许可的合作伙伴的 ID、授权许可密钥的序列号、添加授权许可密钥的日期和时间、指示 KSN 声明已被接受的指示器）。

发送 KSN 统计数据

KSN 服务器

在发送统计数据到 KSN 之前。

在应用程序设置中禁用发送 KSN 统计数据后，下次尝试发送数据时数据将被删除。