Как фильтрануть события ?

[Foxnight]

Добрый день, появился вопрос по поводу событий которые хранятся в журнале Безопасность Windows.

По коду событий 5140 можно определить кто пытался подключиться к шаре (с какого компа в сети и под чей УЗ)

очень много событий при подключении к общему ресурсу IPC$

в основном такие запросы идут от сервера KSC 

как я понимаю это или опрос сети или мониторинг активности или инвентаризация сети ...,

но так же они поступаю и от других ПК в сети на которых установлен KES 11.11-12.6 версии +агент администрирования 15.0 , возможно они работают как точки распространения в KSC

 

т.к. сканирование этого ресурса можно сопоставить с работой червя, которого мб по какой то причине каспер не смог уловить, как можно фильтрануть эти события и отсеять работу Касперского от левых подключений?

 

 

[En1gma]

Добрый день!

Думаю, будут разные порты и протоколы, можно попробовать фильтрануть по журналу пакетов на вашем сетевом оборудовании.

Если это невозможно, как вариант попробовать сличить этот журнал с журналом KSC, мониторинги, опросы и инвентаризации все должны валиться в журнал событий KSC. Если будут ещё какие-то события сверх того, значит есть подозрительная активность.

https://support.kaspersky.com/KSC/15.1/ru-RU/179949.htm

https://support.kaspersky.com/KSC/15.1/ru-RU/176094.htm