Общее описание

Протокол CEF

Syslog - протокол для сбора, передачи и хранения сообщений о событиях в компьютерных системах и сетях.

CEF - Common Event Format, текстовый формат, разработанный для поддержки различных типов устройств, предоставляющий актуальную информацию. Чистый протокол CEF не содержит поля CEF_SYSLOG_TIMESTAMP и CEF_SYSLOG_HOST. Для возможности отправлять события в Syslog и для обогащения событий дополнительной информацией, поля время отправки события и хост отправляющий события добавлены в шаблон и он имеет вид:

События можно разделить на три больших блока:

SYSTEM - системные события, изменение конфигурации сущностей NAICE является системным событием. Например, изменение параметров NAS, создание нового пользователя, удаление политики и т.д.
RADIUS - события аутентификации по протоколу Radius. Например, успешное прохождение аутентификации, отказ в аутентификации пользователя и т.д.
TACACS+ - события аутентификации, авторизации, аккаунтинга по протоколу TACACS+. К ним относятся аутентификация администратора на устройстве, проверка разрешения на выполнение команд, отправка аккаунтинга и т.д.

Примеры, список всех событий может быть получен из справочного CSV файла all_events_export_1.3.csv.

События могут публиковаться как на английском на и русском языке в зависимости от выбранной пользователем локали NAICE.

Поля CEF формата

Имя	Описание	Значение/пример значения
CEF_SYSLOG_TIMESTAMP	Время отправки события в формате `Mmm dd hh:mm:ss`	Jan 18 11:07:53
CEF_SYSLOG_HOST	Хост отправляющий событие	red-os-176
CEF Version	Версия формата CEF, которую мы используем.	Констатное значение - 1.
Device Vendor	Производитель устройства/ПО	Констатное значение - Eltex
Device Product	Название продукта, сгенерировавшего событие.	Константное значение - NAICE
Device Version	Версия продукта.	1.3.0
Device Event Class ID	Уникальный числовой идентификатор типа события.	Диапазон от 0 - 65536
Name	Имя события	LICENSE_ACTIVATION
Severity	Важность события в числовом формате. 0-3 = Low (Низкая) 4-6 = Medium (Средняя) 7-8 = High (Высокая) 9-10 = Very High (Очень высокая)	10
src	Source IP: IP-адрес источника, с которого инициировано событие. Для событий типа SYSTEM - указывается IP адрес администратора, с машины которого было сделано изменение. Для RADIUS событий - значение адреса NAS. Для TACACS+ событий - компьютер администратора, производящего настроку оборудования по протоколу TACACS+.	127.0.0.1
suser	Source User: Имя пользователя, связанного с источником события. Для SYSTEM - логин администратора, совершившего действие. Для RADIUS - логин пользователя, проходящего аутентификацию. Для TACACS+ - логин администратора, конфигурирующего оборудование.	test-user
msg	Message: Оригинальное, произвольное текстовое описание события. Подробное описание событий приведено в таблице ниже.	The license NAICE-LICENSE-1 successfully activated
dst	Destination IP: IP адрес узла NAICE, на котором была обработана отправка этого события	172.20.0.1
dpt	Destination Port: Порт назначения.	SYSTEM: 443 RADIUS: 1812 TACACS+: 49
proto	Протокол, к которому относится сгенерирование событие	SYSTEM: HTTPS RADIUS: RADIUS TACACS+: TACACS+
event_log_level	Уровень события в текстовом виде	DEBUG, INFO, WARNING, ERROR
start	Start Time: Время начала события (в миллисекундах с эпохи Unix).	1760943998573
Extenstion - Дополнительные поля в формате key/value	Дополнительные поля содержат параметры для заполнения шаблона сообщения, для протоколов Radius и Tacacs+ содержаться значимые поля события. (логин пользователя, значимые параметры протокола)	productId=NAICE-LICENSE-1 fileType=license file

Описание событий

С описанием выступающих в роли источников сервисами можно ознакомиться в v1.3_1.3 Структурная схема.

SYSTEM

Лицензирование

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
LICENSE_ACTIVATION	1	Активация лицензии - результат успешного общения с ELM или локальная проверка ELM	INFO	Сервис лицензирования (Gulo)	The license ${productId} successfully activated.	`productId` - уникальный идентификатор продукта.	Oct 20 14:06:38 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|1\|LICENSE_ACTIVATION\|10\|src=172.16.0.2 suser=test-user-1 msg=The license NAICE-LICENSE-1 successfully activated. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1760943998573 productId=NAICE-LICENSE-1
LICENSE_ACTIVATION_ERROR	2	Ошибка активации лицензии	ERROR	Сервис лицензирования (Gulo)	Error while activate license ${productId}: ${error}.	`productId` - уникальный идентификатор продукта. `error` - описание ошибки, при активации лицензии.	Oct 20 14:06:38 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|2\|LICENSE_ACTIVATION_ERROR\|10\|src=172.16.0.2 suser=test-user-1 msg=Error while activate license NAICE-LICENSE-1: License validation failed: Invalid signature. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1760943998574 productId=NAICE-LICENSE-1 error=License validation failed: Invalid signature
LICENSE_UPLOAD_LICENSE_FILE	3	Загрузка файла лицензии	INFO	Пользователь / UI (Larus)	The ${fileType} for ${productId} on ${hostname} successfully uploaded.	fileType - тип файла лицензии `productId` - уникальный идентификатор продукта hostname - имя хоста, с которого был загружен файл лицензии.	Oct 20 14:06:38 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|3\|LICENSE_UPLOAD_LICENSE_FILE\|10\|src=172.16.0.2 suser=test-user-1 msg=The license file for NAICE-LICENSE-1 on naice-production-server successfully uploaded. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1760943998575 fileType=license file hostname=naice-production-server productId=NAICE-LICENSE-1
LICENSE_DEMO_MODE	4	Переход в демо режим	WARNING	Сервис лицензирования (Gulo)	Service ${service} is running in demo mode.	service - имя сервиса, который перешел в демо режим.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|4\|LICENSE_DEMO_MODE\|10\|src=172.16.0.2 suser=test-user-1 msg=Service naice-service is running in demo mode. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1762316583792 service=naice-service
LICENSE_APPLIED	5	Лицензия успешно применена (в сервисах, предоставляющих услугу — Ovis, Aquila)	DEBUG	Сервис авторизации по протоколу Radius / Сервис авторизации по протоколу Tacacs+ (Ovis / Aquila)	The license ${productId} applied at ${service}. Features: ${params}.	`productId` - уникальный идентификатор продукта params - список параметров влияющих на лицензирование продукта, например, признак наличия Tacacs+ service - имя сервиса, функционал которого стал ограничен.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|5\|LICENSE_APPLIED\|10\|src=172.16.0.2 suser=test-user-1 msg=The license NAICE-LICENSE-1 applied at naice-service. Features: TACACS\=true dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=DEBUG start=1762316583793 productId=NAICE-LICENSE-1 params=TACACS\=true service=naice-service
FUNCTIONALITY_IS_LIMITED	6	Ограничение доступа к функционалу (по разным причинам)	WARNING	Сервис авторизации по протоколу Radius / Сервис авторизации по протоколу Tacacs+ (Ovis / Aquila)	The functionality is limited at ${service}.	service - имя сервиса, функционал которого стал ограничен.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|6\|FUNCTIONALITY_IS_LIMITED\|10\|src=172.16.0.2 suser=test-user-1 msg=The functionality is limited at naice-service. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1762316583793 service=naice-service
LICENSE_REMOVED	8	Лицензия удалена	INFO	Пользователь / UI (Larus)	The license ${productId} has been deleted.	`productId` - уникальный идентификатор продукта.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|8\|LICENSE_REMOVED\|10\|src=172.16.0.2 suser=test-user-1 msg=The license NAICE-LICENSE-1 has been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583793 productId=NAICE-LICENSE-1
LICENSE_UPGRADE_STATUS	9	Лицензия переведена в статус (init - ready, вручную - backup и т.п.)	DEBUG	Сервис лицензирования (Gulo)	The license with ${productId} has been upgraded to the status ${status}	`productId` - уникальный идентификатор продукта. status - текущий статус лицензии, возможные значения: INIT, READY, ACTIVE, INVALID, MISMATCH, LOST, EXPIRED, BACKUP	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|9\|LICENSE_UPGRADE_STATUS\|10\|src=172.16.0.2 suser=test-user-1 msg=The license with NAICE-LICENSE-1 has been upgraded to the status ACTIVE dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=DEBUG start=1762316583794 productId=NAICE-LICENSE-1 status=ACTIVE
LICENSE_ACTIVATION_FILE_CREATED	10	Файл активации сформирован (после обращения к EPG-сервису)	INFO	Сервис лицензирования (Gulo)	Activation file successfully created with ${productId}.	`productId` - уникальный идентификатор продукта.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|10\|LICENSE_ACTIVATION_FILE_CREATED\|10\|src=172.16.0.2 suser=test-user-1 msg=Activation file successfully created with NAICE-LICENSE-1. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583794 productId=NAICE-LICENSE-1
LICENSE_ACTIVATION_FILE_ERROR	11	Ошибка активации файла лицензии	ERROR	Сервис лицензирования (Gulo)	Activation file creation error for ${productId}: ${error}.	`productId` - уникальный идентификатор продукта. error - описание ошибки	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|11\|LICENSE_ACTIVATION_FILE_ERROR\|10\|src=172.16.0.2 suser=test-user-1 msg=Activation file creation error for NAICE-LICENSE-1: License validation failed: Invalid signature. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1762316583794 productId=NAICE-LICENSE-1 error=License validation failed: Invalid signature
LICENSE_PK_FILE_ALREADY_EXISTS	12	PK-файл уже существует	ERROR	Сервис хранения данных (Ursus)	PK file for ${hostname} already exists.	hostname - имя хоста, с которого была попытка загрузки файла лицензии.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|12\|LICENSE_PK_FILE_ALREADY_EXISTS\|8\|src=172.16.0.2 suser=test-user-1 msg=PK file for naice-production-server already exists. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1762316583795 hostname=naice-production-server
LICENSE_UPLOAD_FILE_ERROR	13	Ошибка загрузки файла лицензии	ERROR	Сервис лицензирования (Gulo)	Failed to upload ${fileType} for ${productId} on ${hostname}.	fileType - тип файла лицензии `productId` - уникальный идентификатор продукта hostname - имя хоста, с которого был загружен файл лицензии.	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|13\|LICENSE_UPLOAD_FILE_ERROR\|10\|src=172.16.0.2 suser=test-user-1 msg=Failed to upload license file for NAICE-LICENSE-1 on naice-production-server. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1762316583795 hostname=naice-production-server productId=NAICE-LICENSE-1 fileType=license file
LICENSE_ACTIVATION_CMD	14	Запущена активация лицензии	INFO	Сервис обработки пользовательских запросов (Gavia)	Activates license ${productId}.	`productId` - уникальный идентификатор продукта	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|14\|LICENSE_ACTIVATION_CMD\|10\|src=172.16.0.2 suser=test-user-1 msg=Activates license NAICE-LICENSE-1. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583795 productId=NAICE-LICENSE-1
LICENSE_ACTIVATION_FILE_CREATE_CMD	15	Создание файла активации лицензии	INFO	Сервис обработки пользовательских запросов (Gavia)	Creates an activation file for license ${productId}.	`productId` - уникальный идентификатор продукта	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|15\|LICENSE_ACTIVATION_FILE_CREATE_CMD\|10\|src=172.16.0.2 suser=test-user-1 msg=Creates an activation file for license NAICE-LICENSE-1. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583796 productId=NAICE-LICENSE-1
LICENSE_DROP_REASON	19	Произошёл сброс лицензии и передана причина сброса.	ERROR	Сервис лицензирования (Gulo)	License will be dropped. ${dropReason}	dropReason - описание причины сброса лицензии	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|19\|LICENSE_DROP_REASON\|10\|src=172.16.0.2 suser=test-user-1 msg=License will be dropped. License expired on 2024-12-31 dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1762316583797 dropReason=License expired on 2024-12-31
LICENSE_DEMO_LIMIT_REACHED_GUEST_ENDPOINT	20	Превышен лимит гостевых эндпоинтов в демо-режиме	WARNING	Сервис лицензирования (Gulo)	Demo limit of '${limit}' guest endpoints exceeded.	limit - количество доступных подключений портальной авторизации в демо-режиме	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|20\|LICENSE_DEMO_LIMIT_REACHED_GUEST_ENDPOINT\|8\|src=172.16.0.2 suser=test-user-1 msg=Demo limit of '15' guest endpoints exceeded. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1762316583797 limit=15
LICENSE_DEMO_LIMIT_REACHED_POSTURE_REPORTS	203	Превышен лимит демо-режима на ‘${limit}’ обработанных posture-отчётов за сутки.	WARNING	Сервис лицензирования (Gulo)	Demo limit of ‘${limit}’ processed posture reports per day exceeded.	limit - количество доступных уникальных проверок соответствия ИБ за сутки в демо-режиме	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|203\|LICENSE_DEMO_LIMIT_REACHED_POSTURE_REPORTS\|8\|src=172.16.0.2 suser=test-user-1 msg=Demo limit of '15' processed posture reports per day exceeded. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1762316583797 limit=15

Портал

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
AUTHENTICATION_SERVICE_UNAVAILABLE	16	Сервис портала недоступен.	ERROR	Сервис портальной авторизации (Castor)	Authentication service ${service} is not available.	service - имя сервиса аутентификации, который стал не доступен (например имя источника MS AD/LDAP)	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|16\|AUTHENTICATION_SERVICE_UNAVAILABLE\|8\|src=172.16.0.2 suser=test-user-1 msg=Authentication service LDAP Authentication Service is not available. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1762316583796 service=LDAP Authentication Service
SMS_DEMO_HAS_BEEN_SENT	17	Получено СМС от демо-шлюза.	INFO	Сервис взаимодействия шлюзов (Bubo)	Receive demo sms: ${smsMessage}	smsMessage - текст сообщения	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|17\|SMS_DEMO_HAS_BEEN_SENT\|3\|src=172.16.0.2 suser=test-user-1 msg=Receive demo sms: Your verification code is: 123456 dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583797 smsMessage=Your verification code is: 123456
PORTAL_SEND_SMS_ERROR	18	Произошла ошибка при отправке СМС при портальной авторизации.	ERROR	Сервис портальной авторизации (Castor)	Error while sending sms to phone number '${phoneNumber}' on portal '${portalName}': ${error}.	portalName - имя портала error - описание ошибки target - номер телефона	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|18\|PORTAL_SEND_SMS_ERROR\|6\|src=172.16.0.2 suser=test-user-1 msg=Error while sending sms to phone number '+79001234567' on portal 'Portal-1': SMS gateway timeout. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1762316583797 portalName=Portal-1 error=SMS gateway timeout target=+79001234567
CREATE_PORTAL_USER	42	Создан портальный пользователь.	INFO	Пользователь / UI (Larus)	Portal user `<portalUserName>` was created.	`portalUserName` - логин созданного пользователя	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|42\|CREATE_PORTAL_USER\|6\|src=172.16.0.2 suser=test-user-1 msg=Portal user 'GuestUser-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583803 portalUserName=GuestUser-1
UPDATE_PORTAL_USER	43	Изменен портальный пользователь.	INFO	Пользователь / UI (Larus)	Portal user '${portalUserName}' has been edited.	`portalUserName` - логин измененного пользователя	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|43\|UPDATE_PORTAL_USER\|6\|src=172.16.0.2 suser=test-user-1 msg=Portal user 'test-user-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583803 portalUserName=test-user-1
DELETE_PORTAL_USER	44	Удалены портальные пользователи	INFO	Пользователь / UI (Larus)	Portal users '${portalUsersNames}' have been deleted.	portalUsersNames - логины удаленных пользователей	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|44\|DELETE_PORTAL_USER\|6\|src=172.16.0.2 suser=test-user-1 msg=Portal users 'GuestUser-1, GuestUser-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583804 portalUsersNames=GuestUser-1, GuestUser-2

Обновление конфигурации профилирования

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_PROFILING_POLICY	21	Создана новая политика профилирования	INFO	Пользователь / UI (Larus)	New profiling policy '${policyName}' has been created	policyName - имя созданной политики профилирования	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|21\|CREATE_PROFILING_POLICY\|6\|src=172.16.0.2 suser=test-user-1 msg=New profiling policy 'Policy-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583798 policyName=Policy-1
UPDATE_PROFILING_POLICY	22	Изменены параметры политики профилирования	INFO	Пользователь / UI (Larus)	Profiling policies '${policyName}' have been edited.	policyName - имя измененной политики профилирования	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|22\|UPDATE_PROFILING_POLICY\|6\|src=172.16.0.2 suser=test-user-1 msg=Profiling policies 'Policy-1' have been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583798 policyName=Policy-1
DELETE_PROFILING_POLICY	23	Удалены политики профилирования	INFO	Пользователь / UI (Larus)	Profiling policies '${policiesNames}' have been deleted.	policyNames - имена удаленных политик профилирования	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|23\|DELETE_PROFILING_POLICY\|6\|src=172.16.0.2 suser=test-user-1 msg=Profiling policies 'Policy-1, Policy-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583798 policiesNames=Policy-1, Policy-2
CREATE_PROFILING_CONDITION	24	Создано новое условие профилирования	INFO	Пользователь / UI (Larus)	New profiling condition '${conditionName}' has been created.	conditionName - имя созданного условия профилирования	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|24\|CREATE_PROFILING_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=New profiling condition 'Condition-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583799 conditionName=Condition-1
UPDATE_PROFILING_CONDITION	25	Изменены параметры условия профилирования	INFO	Пользователь / UI (Larus)	Profiling condition '${conditionName}' has been edited.	conditionName - имя измененного условия профилирования	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|25\|UPDATE_PROFILING_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=Profiling condition 'Condition-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583799 conditionName=Condition-1
DELETE_PROFILING_CONDITION	26	Удалены условия профилирования	INFO	Пользователь / UI (Larus)	Profiling conditions '${conditionsNames}' have been deleted.	conditionNames - имена удаленных условия профилирования	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|26\|DELETE_PROFILING_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=Profiling conditions 'Condition-1, Condition-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583799 conditionsNames=Condition-1, Condition-2
CREATE_LOGICAL_PROFILE	119	Создан новый логический профиль.	INFO	Пользователь / UI (Larus)	Logical profile '${logicalProfileName}' has been created.	logicalProfileName - имя созданного логического профиля	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|119\|CREATE_LOGICAL_PROFILE\|6\|src=172.16.0.2 suser=test-user-1 msg=Logical profile 'Test logical profile' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583825 logicalProfileName=Test logical profile
UPDATE_LOGICAL_PROFILE	120	Изменены параметры логического профиля.	INFO	Пользователь / UI (Larus)	Logical profile '${logicalProfileName}' has been edited.	logicalProfileName - имя измененного логического профиля	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|120\|UPDATE_LOGICAL_PROFILE\|6\|src=172.16.0.2 suser=test-user-1 msg=Logical profile 'Test logical profile' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583825 logicalProfileName=Test logical profile
DELETE_LOGICAL_PROFILES	121	Удалены логические профили.	INFO	Пользователь / UI (Larus)	Logical profiles '${logicalProfilesNames}' have been deleted.	logicalProfileNames - именя удаленных логических профилей	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|121\|DELETE_LOGICAL_PROFILES\|6\|src=172.16.0.2 suser=test-user-1 msg=Logical profiles 'Test logical profile' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583825 logicalProfilesNames=Test logical profile

Обновление конфигурации цепочек идентификации

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_IDENTITY_SEQUENCE	27	Создана новая цепочка идентификации	INFO	Пользователь / UI (Larus)	Identity sequence '${identitySequenceName}' has been created.	identitySequenceName - имя созданной цепочки идентификации	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|27\|CREATE_IDENTITY_SEQUENCE\|6\|src=172.16.0.2 suser=test-user-1 msg=Identity sequence 'Sequence-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583799 identitySequenceName=Sequence-1
UPDATE_IDENTITY_SEQUENCE	28	Изменены параметры цепочки идентификации	INFO	Пользователь / UI (Larus)	Identity sequence '${identitySequenceName}' has been edited.	identitySequenceName - имя измененной цепочки идентификации	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|28\|UPDATE_IDENTITY_SEQUENCE\|6\|src=172.16.0.2 suser=test-user-1 msg=Identity sequence 'Sequence-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583800 identitySequenceName=Sequence-1
DELETE_IDENTITY_SEQUENCES	29	Удалены цепочки идентификации	INFO	Пользователь / UI (Larus)	Identity sequences '${identitySequencesNames}' have been deleted.	identitySequenceNames - имена удаленных цепочек идентификации	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|29\|DELETE_IDENTITY_SEQUENCES\|6\|src=172.16.0.2 suser=test-user-1 msg=Identity sequences 'Sequence-1, Sequence-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583800 identitySequencesNames=Sequence-1, Sequence-2

Обновление настроек сертификатов

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_TRUST_CERTIFICATE	128	Создан новый доверенный сертификат	INFO	Пользователь / UI (Larus)	Trust certificate '${certificateName}' has been created.	`certificateName` - имя сертификата, который был добавлен	Mar 05 07:59:20 mpanchekhinVM CEF:1\|Eltex\|NAICE\|1.3.0\|128\|CREATE_TRUST_CERTIFICATE\|6\|src=100.125.0.61 suser=admin msg=Trust certificate 'cert' has been created. dst=100.110.2.135 dst_host=mpanchekhinVM dpt=443 proto=HTTPS event_log_level=INFO start=1772697560704 certificateName=cert
EDIT_TRUST_CERTIFICATE	129	Изменен существующий доверенный сертификат	INFO	Пользователь / UI (Larus)	Trust certificate '${certificateName}' has been edited.	`certificateName` - имя сертификата, который был изменен	Mar 05 07:59:30 mpanchekhinVM CEF:1\|Eltex\|NAICE\|1.3.0\|135\|EDIT_TRUST_CERTIFICATE_STATUS\|6\|src=100.125.0.61 suser=admin msg=Status of trust certificate 'cert' has been changed to 'disabled'. dst=100.110.2.135 dst_host=mpanchekhinVM dpt=443 proto=HTTPS event_log_level=WARNING start=1772697570233 certificateName=cert
EDIT_TRUST_CERTIFICATE_STATUS	135	Изменен статуc доверенного сертификата	WARNING	Пользователь / UI (Larus)	Status of trust certificate '${certificateName}' has been changed to '${certificateStatus}'.	`certificateName` - имя сертификата, который был изменен `certificateStatus` - статус сертификата (включен/выключен)	Mar 05 07:59:30 mpanchekhinVM CEF:1\|Eltex\|NAICE\|1.3.0\|135\|EDIT_TRUST_CERTIFICATE_STATUS\|6\|src=100.125.0.61 suser=admin msg=Status of trust certificate 'cert' has been changed to 'disabled'. dst=100.110.2.135 dst_host=mpanchekhinVM dpt=443 proto=HTTPS event_log_level=WARNING start=1772697570233 certificateName=cert certificateStatus=disabled
DELETE_TRUST_CERTIFICATES	130	Доверенные сертификат(ы) удален(ы)	WARNING	Пользователь / UI (Larus)	Trust certificates '${certificateNames}' have been deleted.	`certificateNames` - имена сертификатов, которые были удалены	Mar 05 07:59:33 mpanchekhinVM CEF:1\|Eltex\|NAICE\|1.3.0\|130\|DELETE_TRUST_CERTIFICATES\|6\|src=100.125.0.61 suser=admin msg=Trust certificates 'cert' have been deleted. dst=100.110.2.135 dst_host=mpanchekhinVM dpt=443 proto=HTTPS event_log_level=WARNING start=1772697573670 certificateNames=cert
`TRUST_CERTIFICATE_EXPIRING_SOON`	136	Доверенный сертификат скоро истечет	WARNING	Сервис управления конфигурацией (Phoca)	Trust certificate '${certificateName}' will expire on ${expirationDate} (in ${daysLeft} days)	`certificateName` - имя истекающего сертификата `expirationDate` - дата истечения сертификата `daysLeft` - количество дней, оставшихся до истечения сертификата	Mar 05 09:10:50 mpanchekhinVM CEF:1\|Eltex\|NAICE\|1.3.0\|136\|TRUST_CERTIFICATE_EXPIRING_SOON\|8\|src=172.20.8.4 suser=system msg=Trust certificate 'cert' will expire on 2026-03-05T09:30:54.000Z (in 0 days) dst=100.110.2.135 dst_host=mpanchekhinVM dpt=443 proto=HTTPS event_log_level=WARNING start=1772701849927 daysLeft=0 certificateName=cert expirationDate=2026-03-05T09:30:54.000Z
`TRUST_CERTIFICATE_EXPIRED`	137	Доверенный сертификат истек	ERROR	Сервис управления конфигурацией (Phoca)	Trust certificate '${certificateName}' expired on ${expirationDate}	`certificateName` - имя истекшего сертификата `expirationDate` - дата истечения сертификата	Mar 05 09:35:15 mpanchekhinVM CEF:1\|Eltex\|NAICE\|1.3.0\|137\|TRUST_CERTIFICATE_EXPIRED\|10\|src=172.20.8.4 suser=system msg=Trust certificate 'cert' expired on 2026-03-05T09:30:54.000Z dst=100.110.2.135 dst_host=mpanchekhinVM dpt=443 proto=HTTPS event_log_level=ERROR start=1772703315193 expirationDate=2026-03-05T09:30:54.000Z certificateName=cert
LOAD_SERVER_CERTIFICATE	156	Серверный сертификат был создан	INFO	Пользователь / UI (Larus)	Server certificate '${certificateName}' has been created	`certificateName` - имя сертификата, который был добавлен	Jun 18 07:29:50 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|156\|LOAD_SERVER_CERTIFICATE\|6\|src=100.125.0.50 suser=admin msg=Server certificate 'custom-radius-cert' has been created. dst=100.110.2.216 dst_host=naice-docker dpt=443 proto=HTTPS event_log_level=INFO start=1781767790908 certificateName=custom-radius-cert
UPDATE_SERVER_CERTIFICATE	157	Имя серверного сертификата было изменено	INFO	Пользователь / UI (Larus)	Name of server certificate `${certificateOldName}` has been changed to `${certificateName}`.	`certificateOldName - прежнее имя сертификата, который был изменен` `certificateName` - имя сертификата, который был изменен	Jun 18 07:31:28 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|157\|UPDATE_SERVER_CERTIFICATE\|6\|src=100.125.0.50 suser=admin msg=Name of server certificate `custom-radius-cert` has been changed to `radius-cert`. dst=100.110.2.216 dst_host=naice-docker dpt=443 proto=HTTPS event_log_level=INFO start=1781767888556 certificateOldName=custom-radius-cert certificateName=radius-cert
DELETE_SERVER_CERTIFICATES	158	Серверные сертификаты были удалены	WARNING	Пользователь / UI (Larus)	Server certificates '${certificateNames}' have been deleted.	`certificateNames` - имена сертификатов, которые были удалены	Jun 18 07:35:19 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|158\|DELETE_SERVER_CERTIFICATES\|6\|src=100.125.0.50 suser=admin msg=Server certificates 'radius-cert' have been deleted. dst=100.110.2.216 dst_host=naice-docker dpt=443 proto=HTTPS event_log_level=WARNING start=1781768119630 certificateNames=radius-cert
SERVER_CERTIFICATE_EXPIRING_SOON	159	Серверный сертификат истечёт через определенный период времени	WARNING	Сервис управления конфигурацией (Phoca)	Server certificate '${certificateName}' will expire on ${expirationDate} (in ${daysLeft} days)	`certificateName` - имя истекающего сертификата `expirationDate` - дата истечения сертификата `daysLeft` - количество дней, оставшихся до истечения сертификата	Jun 18 07:43:07 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|159\|SERVER_CERTIFICATE_EXPIRING_SOON\|10\|src=172.20.8.4 suser=system msg=Server certificate 'test-soon-expired' will expired on 2026-06-20T07:40:00.000Z (in 1 days) dst=100.110.2.216 dst_host=naice-docker dpt=443 proto=HTTPS event_log_level=WARNING start=1781768587430 daysLeft=0 certificateName=test-soon-expired expirationDate=2026-06-09T07:40:00.000Z
SERVER_CERTIFICATE_EXPIRED	160	Срок действия серверного сертификата истёк	ERROR	Сервис управления конфигурацией (Phoca)	Server certificate '${certificateName}' expired on ${expirationDate}	`certificateName` - имя истекшего сертификата `expirationDate` - дата истечения сертификата	Jun 18 07:43:07 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|160\|SERVER_CERTIFICATE_EXPIRED\|10\|src=172.20.8.4 suser=system msg=Server certificate 'test-expired' expired on 2026-06-09T07:40:00.000Z dst=100.110.2.216 dst_host=naice-docker dpt=443 proto=HTTPS event_log_level=ERROR start=1781768587430 certificateName=test-expired expirationDate=2026-06-09T07:40:00.000Z
SERVER_CERTIFICATE_CHAIN_EXPIRING_SOON	168	Сертификат в цепочке серверного сертификата истечёт через определенный период времени	WARNING	Сервис управления конфигурацией (Phoca)	Certificate '${certificateSubject}' (level: '${certificateLevel}') in server certificate chain '${certificateName}' will expire on ${expirationDate} (in ${daysLeft} days)	`certificateSubject` - имя истекающего сертификата в цепочке сертификатов `certificateLevel` - уровень истекающего сертификата в цепочке сертификатов(ROOT - корневой, INTERMEDIATE - промежуточный, LEAF - серверный) `certificateName` - имя истекающей цепочки сертификатов `expirationDate` - дата истечения цепочки сертификатов `daysLeft` - количество дней, оставшихся до истечения цепочки сертификатов	Oct 22 16:36:57 naice-test-host CEF:1\|Eltex\|NAICE\|1.0.0\|168\|SERVER_CERTIFICATE_CHAIN_EXPIRING_SOON\|8\|src=172.16.0.2 suser=test-user-1 msg=Certificate 'CN\=Eltex Root Ca' (level: 'INTERMEDIATE') in server certificate chain 'Microsoft Root Authority' will expire on 2026-09-09 22:19:15.0 (in 20 days) dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1792661817824 certificateName=Microsoft Root Authority daysLeft=20 certificateSubject=CN\=Eltex Root Ca expirationDate=2026-09-09 22:19:15.0 certificateLevel=INTERMEDIATE
SERVER_CERTIFICATE_CHAIN_EXPIRED	169	Срок действия сертификата в цепочке серверного сертификата истёк	ERROR	Сервис управления конфигурацией (Phoca)	Certificate '${certificateSubject}' (level: '${certificateLevel}') in server certificate chain '${certificateName}' expired on ${expirationDate}	`certificateSubject` - имя истекшего сертификата в цепочке сертификатов `certificateLevel` - уровень истекшего сертификата в цепочке сертификатов(ROOT - корневой, INTERMEDIATE - промежуточный, LEAF - серверный) `certificateName` - имя истекшей цепочки сертификатов `expirationDate` - дата истечения цепочки сертификатов	Oct 22 16:36:57 naice-test-host CEF:1\|Eltex\|NAICE\|1.0.0\|169\|SERVER_CERTIFICATE_CHAIN_EXPIRED\|10\|src=172.16.0.2 suser=test-user-1 msg=Certificate 'CN\=Eltex Root Ca' (level: 'INTERMEDIATE') in server certificate chain 'Microsoft Root Authority' expired on 2026-09-09 22:19:15.0 dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1792661817824 certificateName=Microsoft Root Authority expirationDate=2026-09-09 22:19:15.0 certificateLevel=INTERMEDIATE certificateSubject=CN\=Eltex Root Ca

Обновление конфигурации сетевых ресурсов

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
NETWORK_DEVICE_CREATED	30	Создано новое сетевое устройство	INFO	Пользователь / UI (Larus)	Network device ${deviceName} has been created.	deviceName - имя созданного устройства NAS	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|30\|NETWORK_DEVICE_CREATED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network device Device-1 has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583800 deviceName=Device-1
NETWORK_DEVICE_EDITED	31	Изменены параметры сетевого устройства	INFO	Пользователь / UI (Larus)	Network device ${deviceName} has been changed.	deviceName - имя измененного устройства NAS	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|31\|NETWORK_DEVICE_EDITED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network device Device-1 has been changed. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583800 deviceName=Device-1
NETWORK_DEVICES_DELETED	32	Удалены сетевые устройства	INFO	Пользователь / UI (Larus)	Network devices ${devicesNames} have been deleted.	deviceNames - имена удаленных NAS устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|32\|NETWORK_DEVICES_DELETED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network devices Device-1, Device-2 have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583801 devicesNames=Device-1, Device-2
NETWORK_GROUP_CREATED	33	Создана новая сетевая группа	INFO	Пользователь / UI (Larus)	Network group ${groupName} has been created.	groupName - имя созданной группы сетевых устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|33\|NETWORK_GROUP_CREATED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network group Group-1 has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583801 groupName=Group-1
NETWORK_GROUP_EDITED	34	Изменены параметры сетевой группы	INFO	Пользователь / UI (Larus)	Network group ${groupName} has been changed.	groupName - имя измененной группы сетевых устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|34\|NETWORK_GROUP_EDITED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network group Group-1 has been changed. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583801 groupName=Group-1
NETWORK_GROUPS_DELETED	35	Удалены сетевые группы	INFO	Пользователь / UI (Larus)	Network groups ${groupsNames} have been deleted.	groupNames - имена удаленных групп сетевых устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|35\|NETWORK_GROUPS_DELETED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network groups Group-1, Group-2 have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583801 groupsNames=Group-1, Group-2
NETWORK_PROFILE_CREATED	36	Создан новый сетевой профиль	INFO	Пользователь / UI (Larus)	Network profile ${profileName} has been created.	profileName - имя созданного профиля сетевых устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|36\|NETWORK_PROFILE_CREATED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network profile Profile-1 has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583802 profileName=Profile-1
NETWORK_PROFILE_EDITED	37	Изменены параметры сетевого профиля	INFO	Пользователь / UI (Larus)	Network profile ${profileName} has been changed.	profileName - имя измененого профиля сетевых устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|37\|NETWORK_PROFILE_EDITED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network profile Profile-1 has been changed. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583802 profileName=Profile-1
NETWORK_PROFILES_DELETED	38	Удалены сетевые профили	INFO	Пользователь / UI (Larus)	Network profiles ${profilesNames} have been deleted.	profileNames - имена удаленных профилей сетевых устройств	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|38\|NETWORK_PROFILES_DELETED\|6\|src=172.16.0.2 suser=test-user-1 msg=Network profiles Profile-1, Profile-2 have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583802 profilesNames=Profile-1, Profile-2

Обновление конфигурации порталов

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_PORTAL	39	Создан новый портал	INFO	Пользователь / UI (Larus)	Portal '${portalName}' has been created.	portalName - имя созданного портала	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|39\|CREATE_PORTAL\|6\|src=172.16.0.2 suser=test-user-1 msg=Portal 'Portal-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583802 portalName=Portal-1
UPDATE_PORTAL	40	Изменены параметры портала	INFO	Пользователь / UI (Larus)	Portal '${portalName}' has been edited.	portalName - имя измененного портала	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|40\|UPDATE_PORTAL\|6\|src=172.16.0.2 suser=test-user-1 msg=Portal 'Portal-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583803 portalName=Portal-1
DELETE_PORTAL	41	Удален портал	INFO	Пользователь / UI (Larus)	Portal '${portalName}' has been deleted.	portalName - имя удаленного поратал	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|41\|DELETE_PORTAL\|6\|src=172.16.0.2 suser=test-user-1 msg=Portal 'Portal-1' has been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583803 portalName=Portal-1

Обновление конфигурации политик RADIUS

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_RADIUS_POLICY_SET	45	Созданы новые наборы политик RADIUS	INFO	Пользователь / UI (Larus)	Policy sets '${radiusPolicySetNames}' were created.	radiusPolicySetNames - имена созданных Radius политик	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|45\|CREATE_RADIUS_POLICY_SET\|6\|src=172.16.0.2 suser=test-user-1 msg=Policy sets 'PolicySet-1' were created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583804 radiusPolicySetNames=PolicySet-1
UPDATE_RADIUS_POLICY_SET	46	Изменены параметры наборов политик RADIUS	INFO	Пользователь / UI (Larus)	Policy sets '${radiusPolicySetNames}' were edited.	radiusPolicySetNames - имена измененных Radius политик	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|46\|UPDATE_RADIUS_POLICY_SET\|6\|src=172.16.0.2 suser=test-user-1 msg=Policy sets 'PolicySet-1' were edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583804 radiusPolicySetNames=PolicySet-1
DELETE_RADIUS_POLICY_SETS	47	Удалены наборы политик RADIUS	INFO	Пользователь / UI (Larus)	Policy sets '${radiusPolicySetNames}' were deleted.	radiusPolicySetNames - имена удаленных Radius политик	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|47\|DELETE_RADIUS_POLICY_SETS\|6\|src=172.16.0.2 suser=test-user-1 msg=Policy sets 'PolicySet-1' were deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583804 radiusPolicySetNames=PolicySet-1
CREATE_RADIUS_AUTH_PROFILE	48	Создан новый профиль авторизации RADIUS	INFO	Пользователь / UI (Larus)	Authorization profile '${radiusAuthProfileName}' was created.	radiusAuthProfileName - имя созданного профиля авторизации	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|48\|CREATE_RADIUS_AUTH_PROFILE\|6\|src=172.16.0.2 suser=test-user-1 msg=Authorization profile 'AuthProfile-1' was created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583804 radiusAuthProfileName=AuthProfile-1
UPDATE_RADIUS_AUTH_PROFILE	49	Изменены параметры профиля авторизации RADIUS	INFO	Пользователь / UI (Larus)	Authorization profile '${radiusAuthProfileName}' was edited.	radiusAuthProfileName - имя измененного профиля авторизации	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|49\|UPDATE_RADIUS_AUTH_PROFILE\|6\|src=172.16.0.2 suser=test-user-1 msg=Authorization profile 'AuthProfile-1' was edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583805 radiusAuthProfileName=AuthProfile-1
DELETE_RADIUS_AUTH_PROFILES	50	Удалены профили авторизации RADIUS	INFO	Пользователь / UI (Larus)	Authorization profiles '${radiusAuthProfilesNames}' were deleted.	radiusAuthProfileNames - имена удаленных профилей авторизации	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|50\|DELETE_RADIUS_AUTH_PROFILES\|6\|src=172.16.0.2 suser=test-user-1 msg=Authorization profiles 'AuthProfile-1, AuthProfile-2' were deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583805 radiusAuthProfilesNames=AuthProfile-1, AuthProfile-2
CREATE_RADIUS_ALLOWED_PROTOCOL	51	Создан новый список разрешенных протоколов RADIUS	INFO	Пользователь / UI (Larus)	List of allowed protocols '${radiusAllowedProtocolName}' was created.	radiusAllowedProtocolName - имя созданного списка разрешенных протоколов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|51\|CREATE_RADIUS_ALLOWED_PROTOCOL\|6\|src=172.16.0.2 suser=test-user-1 msg=List of allowed protocols 'AllowedProtocol-1' was created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583805 radiusAllowedProtocolName=AllowedProtocol-1
UPDATE_RADIUS_ALLOWED_PROTOCOL	52	Изменены параметры списка разрешенных протоколов RADIUS	INFO	Пользователь / UI (Larus)	List of allowed protocols '${radiusAllowedProtocolName}' was edited	radiusAllowedProtocolName - имя измененного списка разрешенных протоколов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|52\|UPDATE_RADIUS_ALLOWED_PROTOCOL\|6\|src=172.16.0.2 suser=test-user-1 msg=List of allowed protocols 'AllowedProtocol-1' was edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583805 radiusAllowedProtocolName=AllowedProtocol-1
DELETE_RADIUS_ALLOWED_PROTOCOLS	53	Удалены списки разрешенных протоколов RADIUS	INFO	Пользователь / UI (Larus)	List of allowed protocols '${radiusAllowedProtocolNames}' was deleted.	radiusAllowedProtocolNames - имена удаленных списков разрешенных протоколов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|53\|DELETE_RADIUS_ALLOWED_PROTOCOLS\|6\|src=172.16.0.2 suser=test-user-1 msg=List of allowed protocols 'AllowedProtocol-1' was deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583806 radiusAllowedProtocolNames=AllowedProtocol-1
CREATE_LOGICAL_CONDITION	54	Создано новое условие для политик RADIUS	INFO	Пользователь / UI (Larus)	Condition '${radiusConditionName}' was created.	radiusConditionName - имя созданного условия политики Radius	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|54\|CREATE_LOGICAL_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=Condition 'RadiusCondition-1' was created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583806 radiusConditionName=RadiusCondition-1
UPDATE_LOGICAL_CONDITION	55	Изменены параметры условия для политик RADIUS	INFO	Пользователь / UI (Larus)	Condition '${radiusConditionName}' was edited.	radiusConditionName - имя измененного условия политики Radius	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|55\|UPDATE_LOGICAL_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=Condition 'RadiusCondition-1' was edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583806 radiusConditionName=RadiusCondition-1
DELETE_LOGICAL_CONDITIONS	56	Удалены условия для политик RADIUS	INFO	Пользователь / UI (Larus)	Condition '${radiusConditionNames}' was deleted	radiusConditionNames - имена удаленных условий политик Radius	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|56\|DELETE_LOGICAL_CONDITIONS\|6\|src=172.16.0.2 suser=test-user-1 msg=Condition 'RadiusCondition-1, RadiusCondition-2' was deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583806 radiusConditionNames=RadiusCondition-1, RadiusCondition-2

Обновление конфигурации элементов управления идентификацией

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_USER	57	Создан новый пользователь сети	INFO	Пользователь / UI (Larus)	Network user '${identityUserName}' has been created.	identityUserName - имя созданного пользователя сети	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|57\|CREATE_USER\|6\|src=172.16.0.2 suser=test-user-1 msg=Network User 'user-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583806 identityUserName=user-1
UPDATE_USER	58	Изменены параметры пользователя сети	INFO	Пользователь / UI (Larus)	Network user '${identityUserName}' has been edited.	identityUserName - имя измененного пользователя сети	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|58\|UPDATE_USER\|6\|src=172.16.0.2 suser=test-user-1 msg=Network User 'user-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583807 identityUserName=user-1
DELETE_USERS	59	Удалены пользователи сети	INFO	Пользователь / UI (Larus)	Network users '${identityUsersNames}' have been deleted.	identityUsersNames - имена удаленных пользователей сети	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|59\|DELETE_USERS\|6\|src=172.16.0.2 suser=test-user-1 msg=Network users 'user-1, user-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583807 identityUsersNames=user-1, user-2
CREATE_USERS_GROUP	60	Создана новая группа пользователей сети	INFO	Пользователь / UI (Larus)	Network users group '${identityUsersGroupName}' has been created.	identityUsersGroupName - имя созданной группы пользователей сети	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|60\|CREATE_USERS_GROUP\|6\|src=172.16.0.2 suser=test-user-1 msg=Network users group 'UserGroup-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583807 identityUsersGroupName=UserGroup-1
UPDATE_USERS_GROUP	61	Изменены параметры группы пользователей сети	INFO	Пользователь / UI (Larus)	Network users group '${identityUsersGroupName}' has been edited.	identityUsersGroupName - имя измененной группы пользователей сети	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|61\|UPDATE_USERS_GROUP\|6\|src=172.16.0.2 suser=test-user-1 msg=Network users group 'UserGroup-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583807 identityUsersGroupName=UserGroup-1
DELETE_USERS_GROUPS	62	Удалены группы пользователей сети	INFO	Пользователь / UI (Larus)	Network users groups '${identityUsersGroupsNames}' have been deleted.	identityUsersGroupNames - имена удаленных групп пользователей сети	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|62\|DELETE_USERS_GROUPS\|6\|src=172.16.0.2 suser=test-user-1 msg=Network users groups 'UserGroup-1, UserGroup-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583808 identityUsersGroupsNames=UserGroup-1, UserGroup-2
IDENTITY_PASSWORD_MUST_CHANGE_SET	198	Для пользователя сети установлено требование сменить пароль при следующем входе.	INFO	Пользователь / UI (Larus)	Password change requirement was set for user '${identityUserName}'.	identityUserName - логин пользователя сети	Oct 16 11:44:20 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|198\|IDENTITY_PASSWORD_MUST_CHANGE_SET\|6\|src=172.16.0.2 suser=test-user-1 msg=Password change requirement was set for user 'User-1'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1792125860468 identityUserName=User-1
IDENTITY_USER_BLOCKED	199	Учётная запись пользователя сети была выключена.	WARNING	Пользователь / UI (Larus)	User '${identityUserName}' was disabled. Reason: ${blockReason}.	identityUserName - логин пользователя сети * blockReason - причина выключения (например "Выключен администратором")	Oct 16 11:44:20 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|199\|IDENTITY_USER_BLOCKED\|8\|src=172.16.0.2 suser=test-user-1 msg=User 'User-1' was disabled. Reason: Password expired. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1792125860468 identityUserName=User-1 blockReason=Password expired
IDENTITY_USER_UNBLOCKED	200	Учётная запись пользователя сети была включена.	INFO	Пользователь / UI (Larus)	User '${identityUserName}' was enabled.	identityUserName - логин пользователя сети	Oct 16 11:44:20 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|200\|IDENTITY_USER_UNBLOCKED\|6\|src=172.16.0.2 suser=test-user-1 msg=User 'User-1' was enabled. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1792125860468 identityUserName=User-1
IDENTITY_PASSWORD_EXPIRED_SYSTEM	201	Срок действия пароля пользователя сети истёк. Публикуется фоновой проверкой по расписанию уведомлений.	WARNING	Система (Ursus)	Password for user '${identityUserName}' has expired on ${expirationDate}.	identityUserName - логин пользователя сети * expirationDate - дата истечения пароля	Oct 16 11:44:20 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|201\|IDENTITY_PASSWORD_EXPIRED_SYSTEM\|8\|src=172.16.0.2 suser=test-user-1 msg=Password for user 'User-1' has expired on 2026-09-01. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1792125860468 identityUserName=User-1 expirationDate=2026-09-01
IDENTITY_PASSWORD_EXPIRING_SOON_SYSTEM	202	Срок действия пароля пользователя сети истекает в ближайшее время (в пределах настроенного количества дней до истечения).	INFO	Система (Ursus)	Password for user '${identityUserName}' will expire on ${expirationDate} (in ${daysLeft} days).	identityUserName - логин пользователя сети * expirationDate - дата истечения пароля * daysLeft - сколько дней осталось до истечения	Oct 16 11:44:20 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|202\|IDENTITY_PASSWORD_EXPIRING_SOON_SYSTEM\|6\|src=172.16.0.2 suser=test-user-1 msg=Password for user 'User-1' will expire on 2026-09-15 (in 7 days). dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1792125860468 expirationDate=2026-09-15 daysLeft=7 identityUserName=User-1

Обновление конфигурации записей доступа

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
ACCESS_CREATED_DEVICE_LOGIN	189	Запись доступа пользователя была создана автоматически при входе на устройство.	INFO	Ursus	Access record for user '${username}' from identity source '${sourceName}' was created upon device login.	username - логин, с которым была совершена попытка аутентификации sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника)	Oct 13 05:47:59 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|189\|ACCESS_CREATED_DEVICE_LOGIN\|8\|src=10.0.0.2 suser=test-user-1 msg=Access record for user 'test-user-1' from identity source 'Internal DB' was created upon device login. dst=172.20.0.1 dst_host=naice-test-host dpt=443 proto=HTTPS event_log_level=INFO start=1791870479631 username=test-user-1 sourceName=Internal DB
ACCESS_CREATED_PORTAL_LOGIN	196	Запись доступа пользователя была создана автоматически при входе на портал «Мой доступ».	INFO	Ursus	Access record for user '${username}' from identity source '${sourceName}' was created upon "My Access" portal login.	username - логин, с которым была совершена попытка аутентификации sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника)	Oct 13 05:43:06 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|196\|ACCESS_CREATED_PORTAL_LOGIN\|8\|suser=test-user-1 msg=Access record for user 'test-user-1' from identity source 'Internal DB' was created upon "My Access" portal login. dst=172.20.0.1 dst_host=naice-test-host dpt=443 proto=HTTPS event_log_level=INFO start=1791870186846 username=test-user-1 sourceName=Internal DB
ACCESS_TWO_FACTOR_ADMIN_RESET	170	Администратор сбросил настройку 2FA для пользователя.	INFO	Пользователь / UI (Larus)	Administrator '${adminName}' reset 2FA settings for user with login <username> through source '${sourceName}'.	identityUsersNames - имена удаленных пользователей сети	Oct 13 06:01:18 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|170\|ACCESS_TWO_FACTOR_ADMIN_RESET\|8\|src=172.16.0.2 suser=admin msg=Administrator 'admin' reset 2FA settings for user with login 'tacacs.user' through source 'Internal DB'. dst=172.20.0.1 dst_host=naice-test-host dpt=443 proto=HTTPS event_log_level=INFO start=1791871278128 username=tacacs.user sourceName=Internal DB adminName=admin
ACCESS_DELETED	171	Администратор удалил запись доступа пользователя.	INFO	Пользователь / UI (Larus)	Access record for user '${username}' from source '${sourceName}' has been deleted by administrator '${adminName}'.	username - логин, с которым была совершена попытка аутентификации sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника) adminName - логин администратора, который совершил удаление	Oct 13 05:53:18 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|171\|ACCESS_DELETED\|8\|src=172.16.0.2 suser=admin msg=Access record for user 'user_1@test.loc' from source 'MS AD' has been deleted by administrator 'admin'. dst=172.20.0.1 dst_host=naice-test-host dpt=443 proto=HTTPS event_log_level=INFO start=1791870798852 username=user_1@test.loc sourceName=MS AD adminName=admin
ACCESS_DELETED_MANY	190	Администратор удалил несколько записей доступа.	INFO	Пользователь / UI (Larus)	Administrator '${adminName}' deleted access records with logins: '${accessLogins}'.	adminName - логин администратора, который совершил удаление accessLogins - список логинов владельцев доступа, которым были удалены записи доступа	Oct 13 05:58:51 naice-test-hostCEF:1\|Eltex\|NAICE\|1.3.0\|190\|ACCESS_DELETED_MANY\|8\|src=172.16.0.2 suser=admin msg=Administrator 'admin' deleted access records with logins: 'tacacs.user (Internal DB), user_1@test.loc (MS AD)'. dst=172.20.0.1 dst_host=naice-test-host dpt=443 proto=HTTPS event_log_level=INFO start=1791871131166 accessLogins=tacacs.user (Internal DB), user_1@test.loc (MS AD) adminName=admin

Обновление конфигурации эндпоинтов

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_ENDPOINT	63	Создан новый эндпоинт	INFO	Пользователь / UI (Larus)	Endpoint '${endpointName}' has been created.	endpointName - мак адрес созданного endpoint-а	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|63\|CREATE_ENDPOINT\|6\|src=172.16.0.2 suser=test-user-1 msg=Endpoint 'AA:BB:CC:DD:00:01' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583808 endpointName=AA:BB:CC:DD:00:01
UPDATE_ENDPOINTS	64	Изменены параметры эндпоинтов	INFO	Пользователь / UI (Larus)	Endpoints '${endpointsNames}' have been edited	endpointName - мак адрес измененного endpoint-а	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|64\|UPDATE_ENDPOINTS\|6\|src=172.16.0.2 suser=test-user-1 msg=Endpoints 'AA:BB:CC:DD:00:01, AA:BB:CC:DD:00:02' have been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583808 endpointName=AA:BB:CC:DD:00:01
DELETE_ENDPOINTS	65	Удалены эндпоинты	INFO	Пользователь / UI (Larus)	Endpoints '${endpointsNames}' have been deleted.	endpointNames - мак адреса удаленных endpoint-ов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|65\|DELETE_ENDPOINTS\|6\|src=172.16.0.2 suser=test-user-1 msg=Endpoints 'AA:BB:CC:DD:00:01, AA:BB:CC:DD:00:02' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583808 endpointsNames=AA:BB:CC:DD:00:01, AA:BB:CC:DD:00:02
CREATE_ENDPOINTS_GROUP	66	Создана новая группа эндпоинтов	INFO	Пользователь / UI (Larus)	Endpoints group '${endpointsGroupName}' has been created.	endpointsGroupName - имя созданной группы endpoint-ов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|66\|CREATE_ENDPOINTS_GROUP\|6\|src=172.16.0.2 suser=test-user-1 msg=Endpoints group 'EndpointGroup-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583809 endpointsGroupName=EndpointGroup-1
UPDATE_ENDPOINTS_GROUP	67	Изменены параметры группы эндпоинтов	INFO	Пользователь / UI (Larus)	Endpoints group '${endpointsGroupName}' has been edited.	endpointsGroupName - имя измененной группы endpoint-ов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|67\|UPDATE_ENDPOINTS_GROUP\|6\|src=172.16.0.2 suser=test-user-1 msg=Endpoints group 'EndpointGroup-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583809 endpointsGroupName=EndpointGroup-1
DELETE_ENDPOINTS_GROUPS	68	Удалены группы эндпоинтов	INFO	Пользователь / UI (Larus)	Endpoints groups '${endpointsGroupsNames}' have been deleted.	endpointsGroupsNames - имена удаленных групп endpoint-ов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|68\|DELETE_ENDPOINTS_GROUPS\|6\|src=172.16.0.2 suser=test-user-1 msg=Endpoints groups 'EndpointGroup-1' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583809 endpointsGroupsNames=EndpointGroup-1

Обновление конфигурации внешних источников идентификации

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_EXTERNAL_IDENTITY_SOURCE	69	Создан новый внешний источник идентификации	INFO	Пользователь / UI (Larus)	External source '${externalSourceName}' has been created.	externalSourceName - имя созданного внешнего источника	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|69\|CREATE_EXTERNAL_IDENTITY_SOURCE\|6\|src=172.16.0.2 suser=test-user-1 msg=External source 'LDAPServer-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583809 externalSourceName=LDAPServer-1
UPDATE_EXTERNAL_IDENTITY_SOURCE	70	Изменены параметры внешнего источника идентификации	INFO	Пользователь / UI (Larus)	External source '${externalSourceName}' has been edited.	externalSourceName - имя измененного внешнего источника	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|70\|UPDATE_EXTERNAL_IDENTITY_SOURCE\|6\|src=172.16.0.2 suser=test-user-1 msg=External source 'LDAPServer-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583810 externalSourceName=LDAPServer-1
DELETE_EXTERNAL_IDENTITY_SOURCES	71	Удалены внешние источники идентификации	INFO	Пользователь / UI (Larus)	External sources '${externalSourcesNames}' have been deleted.	externalSourceNames - имена удаленных внешних источников	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|71\|DELETE_EXTERNAL_IDENTITY_SOURCES\|6\|src=172.16.0.2 suser=test-user-1 msg=External sources 'LDAPServer-1, ADServer-2' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583810 externalSourcesNames=LDAPServer-1, ADServer-2
ROLLOVER_COMP_PASS_SUCCESS_EXTERNAL_IDENTITY_SOURCE	132	Пароль доменного компьютера успешно изменён	INFO	Сервис хранения данных (Ursus)	External source '${externalSourceName}'. Domain computer's '${externalSourceComputerName}' password has been auto-changed by system.	externalSourceName - имя внешнего источника externalSourceComputerName - имя доменного компьютера	Dec 12 15:23:36 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|132\|ROLLOVER_COMP_PASS_SUCCESS_EXTERNAL_IDENTITY_SOURCE\|6\|src=172.16.0.2 suser=test-user-1 msg=External source 'LDAPServer-1'. Domain computer's 'NAICE' password has been auto-changed by system. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1765527816814 externalSourceName=LDAPServer-1 externalSourceComputerName=NAICE
ROLLOVER_COMP_PASS_ERROR_EXTERNAL_IDENTITY_SOURCE	133	Ошибка при изменении пароля доменного компьютера	ERROR	Сервис хранения данных (Ursus)	Failed to auto-change password by system for domain computer '${externalSourceComputerName}' in external source '${externalSourceName}'.	externalSourceName - имя внешнего источника externalSourceComputerName - имя доменного компьютера	Dec 12 15:23:36 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|133\|ROLLOVER_COMP_PASS_ERROR_EXTERNAL_IDENTITY_SOURCE\|10\|src=172.16.0.2 suser=test-user-1 msg=Failed to auto-change password by system for domain computer 'NAICE' in external source 'LDAPServer-1'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1765527816815 externalSourceName=LDAPServer-1 externalSourceComputerName=NAICE

Обновление конфигурации шлюзов оповещений

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_NOTIFICATION_GATEWAY	72	Создан новый шлюз оповещения	INFO	Пользователь / UI (Larus)	Notification gateway '${notificationGateway}' was created.	notificationGateway - имя созданного шлюза	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|72\|CREATE_NOTIFICATION_GATEWAY\|6\|src=172.16.0.2 suser=test-user-1 msg=Notification gateway 'EmailGateway-1' was created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583810 notificationGateway=EmailGateway-1
UPDATE_NOTIFICATION_GATEWAY	73	Изменены параметры шлюза оповещения	INFO	Пользователь / UI (Larus)	Notification gateway '${notificationGateway}' was edited.	notificationGateway - имя измененного шлюза	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|73\|UPDATE_NOTIFICATION_GATEWAY\|6\|src=172.16.0.2 suser=test-user-1 msg=Notification gateway 'EmailGateway-1' was edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583811 notificationGateway=EmailGateway-1
DELETE_NOTIFICATION_GATEWAY	74	Удалены шлюзы оповещения	INFO	Пользователь / UI (Larus)	Notification gateways '${notificationGateways}' were deleted.	notificationGateways - имена удаленных шлюзов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|74\|DELETE_NOTIFICATION_GATEWAY\|6\|src=172.16.0.2 suser=test-user-1 msg=Notification gateways 'EmailGateway-1, SMSGateway-2' were deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583811 notificationGateways=EmailGateway-1, SMSGateway-2

Обновление конфигурации пользователей системы

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
RBAC_ADMIN_CREATED	75	Создан новый пользователь системы	INFO	Пользователь / UI (Larus)	Created user with login '${login}' and role '${role}'.	login - логин созданного администратора системы role - роль, с которой создан администратор системы	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|75\|RBAC_ADMIN_CREATED\|8\|src=172.16.0.2 suser=test-user-1 msg=Created user with login 'admin-1' and role 'SUPER_ADMIN'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583811 role=Super Admin login=admin-1
RBAC_ADMIN_CHANGED	76	Изменены данные пользователя системы	INFO	Пользователь / UI (Larus)	Created user with login '${login}' and role '${role}'.	login - логин изменненого администратора системы role - роль, измененного администратора системы sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника)	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|76\|RBAC_ADMIN_CHANGED\|8\|src=172.16.0.2 suser=test-user-1 msg=Changed user with login 'test-user-1' and role 'SUPER_ADMIN'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583811 role=Super Admin sourceName=Internal DB login=test-user-1
RBAC_ADMINS_DELETED	77	Удалены пользователи системы	WARNING	Пользователь / UI (Larus)	Users '${logins}' have been deleted.	admins - логины удаленных администраторов системы (в скобках указывается происхождение учётной записи)	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|77\|RBAC_ADMINS_DELETED\|8\|src=172.16.0.2 suser=test-user-1 msg=Users 'admin-1 (Internal DB), admin-2 (Internal DB)' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1762316583812 admins=admin-1 (Internal DB), admin-2 (Internal DB)
EXTERNAL_ADMINISTRATOR_SAVED	138	Пользователь из внешнего источника был сохранен в системе	INFO	Сервис авторизации администраторов (Lemmus)	User '${login}' from external source '${externalSourceName}' has been saved.	login - логин сохраненного внешнего администратора системы externalSourceName - имя внешнего источника	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|138\|EXTERNAL_ADMINISTRATOR_SAVED\|6\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user-1' from external source 'LDAPServer-1' has been saved. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1782457547772 externalSourceName=LDAPServer-1 login=test-user-1
EXTERNAL_ADMINISTRATOR_UPDATED	139	Пользователь из внешнего источника был обновлен в системе	INFO	Сервис авторизации администраторов (Lemmus)	User '${login}' from external source '${externalSourceName}' has been updated.	login - логин обновленного внешнего администратора системы externalSourceName - имя внешнего источника	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|139\|EXTERNAL_ADMINISTRATOR_UPDATED\|6\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user-1' from external source 'LDAPServer-1' has been updated. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1782457547772 externalSourceName=LDAPServer-1 login=test-user-1
CREATE_ROLE	80	Создана новая роль RBAC	INFO	Пользователь / UI (Larus)	Role with a name: '${role}' has been created.	role - имя созданной роли	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|80\|CREATE_ROLE\|6\|src=172.16.0.2 suser=test-user-1 msg=Role with a name: 'SUPER_ADMIN' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583812 role=SUPER_ADMIN
EDIT_ROLE	81	Изменены параметры роли RBAC	INFO	Пользователь / UI (Larus)	Role with name '${role}' has been edited.	role - имя измененной роли	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|81\|EDIT_ROLE\|6\|src=172.16.0.2 suser=test-user-1 msg=Role with name 'SUPER_ADMIN' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583813 role=SUPER_ADMIN
DELETE_ROLE	82	Удалены роли RBAC	INFO	Пользователь / UI (Larus)	Roles with names '${roles}' has been deleted.	roles - имена удаленных ролей	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|82\|DELETE_ROLE\|6\|src=172.16.0.2 suser=test-user-1 msg=Roles with names 'CustomRole-1, CustomRole-2' has been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583813 roles=CustomRole-1, CustomRole-2
RBAC_CURRENT_ADMIN_CHANGED	116	Пользователь изменил параметры своей учетной записи	INFO	Пользователь / UI (Larus)	User with login '${login}' and role '${role}' has updated his account settings.	sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника) login - логин измененного администратора системы role - текущая роль администратора	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|116\|RBAC_CURRENT_ADMIN_CHANGED\|8\|src=172.16.0.2 suser=test-user-1 msg=User with login 'test-user-1' and role 'SUPER_ADMIN' has updated his account settings. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583824 sourceName=Internal DB role=SUPER_ADMIN login=admin-1

Обновление маршрутов событий

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_LOG_COLLECTOR	113	Создан новый лог-коллектор	INFO	Пользователь / UI (Larus)	Log collector '${logCollectorName}' has been created.	logCollectorName - имя созданного лог коллектора	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|113\|CREATE_LOG_COLLECTOR\|6\|src=172.16.0.2 suser=test-user-1 msg=Log collector 'SyslogCollector-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583823 logCollectorName=SyslogCollector-1
UPDATE_LOG_COLLECTOR	114	Изменены параметры лог-коллектора	INFO	Пользователь / UI (Larus)	Log collector '${logCollectorName}' has been edited	logCollectorName - имя измененного лог коллектора	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|114\|UPDATE_LOG_COLLECTOR\|6\|src=172.16.0.2 suser=test-user-1 msg=Log collector 'SyslogCollector-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583824 logCollectorName=SyslogCollector-1
DELETE_LOG_COLLECTORS	115	Удалены лог-коллекторы	INFO	Пользователь / UI (Larus)	Log collectors '${logCollectorsNames}' have been deleted.	logCollectorNames - имена удаленных лог коллекторов	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|115\|DELETE_LOG_COLLECTORS\|6\|src=172.16.0.2 suser=test-user-1 msg=Log collectors 'SyslogCollector-1' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583824 logCollectorsNames=SyslogCollector-1
SEND_TEST_EVENT_LOG_COLLECTOR	122	Пользователь отправил тестовое событие в лог коллектор	INFO	Пользователь / UI (Larus)	User sent test event to log collector.	-	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|122\|SEND_TEST_EVENT_LOG_COLLECTOR\|3\|src=172.16.0.2 suser=test-user-1 msg=User sent test event to log collector. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583825

Сессии системных пользователей

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_USER_SESSION	78	Пользователь вошел в систему	INFO	Lemmus	User '${login}' sign in to system with role '${authorities}' from ip '${userIp}'.	login - имя администратора совершившего вход в систему authorities - права администратора вошедшего в систему userIp - IP адрес с которого администратор совершил вход в систему sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника)	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|78\|CREATE_USER_SESSION\|6\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user-1' sign in to system with role 'ROLE_ADMIN, ROLE_USER' from ip '192.168.1.100'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583812 userIp=192.168.1.100 login=test-user-1 authorities=ROLE_ADMIN, ROLE_USER sourceName=Internal DB
DESTROY_USER_SESSION	79	Пользователь вышел из системы	INFO	Lemmus	User '${login}' logout from system from ip '${userIp}'.	sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника) login - имя администратора совершившего выход из системы userIp - IP адрес с которого администратор совершил выход из системы	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|79\|DESTROY_USER_SESSION\|6\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user-1' logout from system from ip '192.168.1.100'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583812 sourceName=Internal DB login=test-user-1 userIp=192.168.1.100
TERMINATED_USER_SESSION	117	Пользовательская сессия прервана	INFO	Lemmus	User session '${login}' from ip '${userIp}' is terminated.	sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника) login - имя администратора, для которого прервана сессия userIp - IP адрес администратора	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|117\|TERMINATED_USER_SESSION\|6\|src=172.16.0.2 suser=test-user-1 msg=User session 'test-user-1' from ip '192.168.1.100' is terminated. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583824 sourceName=Internal DB login=test-user-1 userIp=192.168.1.100
EXPIRED_USER_SESSION	118	Пользовательская сессия истекла	INFO	Lemmus	User session '${login}' from ip '${userIp}' is expired.	login - имя администратора, для которого истекла сессия userIp - IP адрес администратора sourceName - указывает на происхождение учётной записи (Internal DB / наименование внешнего источника)	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|118\|EXPIRED_USER_SESSION\|6\|src=172.16.0.2 suser=test-user-1 msg=User session 'test-user-1' from ip '192.168.1.100' is expired. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583825 userIp=192.168.1.100 login=test-user-1 sourceName=Internal DB
`FAILED_USER_SESSION_WRONG_USERNAME`	123	Попытка аутентификации с неверным логином	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', wrong login.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|123\|FAILED_USER_SESSION_WRONG_USERNAME\|6\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', wrong login. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1772786407303 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1
`FAILED_USER_SESSION_WRONG_PASSWORD`	124	Попытка аутентификации с неверным паролем	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', wrong password.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|124\|FAILED_USER_SESSION_WRONG_PASSWORD\|6\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', wrong password. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1772786407303 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1
`FAILED_USER_SESSION_EMPTY_USERNAME`	125	Попытка аутентификации с пустым логином	ERROR	Lemmus	Authentication attempt through '${externalSourceName}' source without login from ip '${userIp}'.	externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|125\|FAILED_USER_SESSION_EMPTY_USERNAME\|8\|src=172.16.0.2 suser=test-user-1 msg=Authentication attempt through 'LDAPServer-1' source without login from ip '192.168.1.100'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1772786407303 externalSourceName=LDAPServer-1 userIp=192.168.1.100
`FAILED_USER_SESSION_DISABLED`	126	Попытка аутентификации с деактивированным пользователем	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', disabled account.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|126\|FAILED_USER_SESSION_DISABLED\|6\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', disabled account. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1772786407303 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1
`FAILED_USER_SESSION_EMPTY_PASSWORD`	140	Попытка аутентификации с пустым паролем	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', empty password.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|140\|FAILED_USER_SESSION_EMPTY_PASSWORD\|6\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', empty password. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1772786407306 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1
`FAILED_USER_SESSION_UNAVAILABLE`	141	Недоступность внешнего источника при попытке аутентификации	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', external source is unavailable.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|141\|FAILED_USER_SESSION_UNAVAILABLE\|6\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', external source is unavailable. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1772786407306 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1
`FAILED_USER_SESSION_ROLE_NOT_FOUND`	142	Не найдена подходящая роль при аутентификации	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', role not found.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|142\|FAILED_USER_SESSION_ROLE_NOT_FOUND\|6\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', role not found. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1772786407306 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1
`FAILED_USER_SESSION_ERROR`	143	Остальные ошибки аутентификации	ERROR	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', error: '${error}'.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение error - полученная ошибка	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|143\|FAILED_USER_SESSION_ERROR\|8\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'LDAPServer-1' source from ip '192.168.1.100', error: 'License validation failed: Invalid signature'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1772786407306 externalSourceName=LDAPServer-1 userIp=192.168.1.100 login=test-user-1 error=License validation failed: Invalid signature
`FAILED_USER_SESSION_REDIRECT_URI_FORBIDDEN`	150	Запрос авторизации пользователя в системе по адресу NAICE, который не входит в список разрешённых правилами доступа	WARNING	Lemmus	Attempted NAICE access from disallowed address '${redirectUri}' from IP-address '${userIp}'.	redirectUri - адрес, на который пришел пользователь userIp - адрес с которого выполнялось подключение error - полученная ошибка	Jun 18 08:14:55 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|150\|FAILED_USER_SESSION_REDIRECT_URI_FORBIDDEN\|8\|src=100.125.0.50 msg=Attempted NAICE access from disallowed address 'https://100.110.2.216/login' from IP-address '100.125.0.50'. dst=100.110.2.216 dst_host=naice-docker dpt=443 proto=HTTPS event_log_level=WARNING start=1781770495130 redirectUri=https://100.110.2.216/login error=Redirect URI is not allowed by access rules userIp=100.125.0.50
FAILED_USER_SESSION_BLOCKED_BY_PASSWORD	153	Пользователь заблокирован политикой блокировки после неудачных попыток ввода пароля	WARNING	Lemmus	User failed authentication with login '${login}' through '${externalSourceName}' source from ip '${userIp}', blocked by lockout policy	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение error - полученная ошибка	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|153\|FAILED_USER_SESSION_BLOCKED_BY_PASSWORD\|10\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user-1' through 'Internal DB' source from ip '192.168.1.100', blocked by lockout policy. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547774 login=test-user-1 error=Authentication failed in 'Local DB': Password incorrect externalSourceName=Internal DB userIp=192.168.1.100
FAILED_USER_SESSION_LOGIN_BLOCKED	154	Попытка входа заблокированного пользователя	WARNING	Lemmus	An attempt to log in by a blocked user with the username '${login}' via the source '${externalSourceName}' with the ip address '${userIp}'	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение error - полученная ошибка	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|154\|FAILED_USER_SESSION_LOGIN_BLOCKED\|10\|src=172.16.0.2 suser=test-user-1 msg=An attempt to log in by a blocked user with the username 'test-user-1' via the source 'Internal DB' with the ip address '192.168.1.100' dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547774 login=test-user-1 error=Identity user blocked externalSourceName=Internal DB userIp=192.168.1.100
FAILED_USER_SESSION_BLOCKED_BY_TWO_FACTOR	161	Пользователь заблокирован политикой блокировки во время 2FA	WARNING	Lemmus	User failed authentication with login '${`username}'` through '${sourceName}' source from ip '${userIp}', 2FA failed, because he blocked by lockout policy	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение method - используемый метод двухфакторной аутентификации	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|161\|FAILED_USER_SESSION_BLOCKED_BY_TWO_FACTOR\|10\|src=172.16.0.2 suser=test-user-1 msg=User failed authentication with login 'test-user' through 'Internal DB' source from ip '192.168.1.100', 2FA failed, blocked by lockout policy dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547776 userIp=192.168.1.100 sourceName=Internal DB method=EMAIL_OTP username=test-user-1
USER_SESSION_SUCCESS_TWO_FA	162	Пользователь успешно прошёл двухфакторную аутентификацию	INFO	Lemmus	User with login '${`username}'` through '${sourceName}' source from ip '${userIp}' successfully completed 2FA	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации authorities - роль пользователя userIp - адрес с которого выполнялось подключение	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|162\|USER_SESSION_SUCCESS_TWO_FA\|10\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user-1' signed in with 2FA with role 'Super Admin' from IP '192.168.1.100' via source 'Internal DB'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1782457547776 username=test-user-1 sourceName=Internal DB authorities=Super Admin userIp=192.168.1.100
FAILED_USER_SESSION_INVALID_TWO_FA	163	Пользователь провалил 2FA, указан неверный код	WARNING	Lemmus	User with login '${`username}'` through '${sourceName}' source from ip '${userIp}' failed 2FA authentication, invalid '${twoFaMethod}'code	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение twoFaMethod - метод двухфакторной аутентификации, который использовался для подтверждения входа (TOTP, Email OTP, Backup Code). method - используемый метод двухфакторной аутентификации	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|163\|FAILED_USER_SESSION_INVALID_TWO_FA\|10\|src=172.16.0.2 suser=test-user-1 msg=User with login 'test-user' through 'Internal DB' source from ip '192.168.1.100' failed 2FA authentication, invalid EMAIL_OTP code. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547777 userIp=192.168.1.100 twoFaMethod=EMAIL_OTP sourceName=Internal DB method=EMAIL_OTP username=test-user-1
FAILED_USER_SESSION_TWO_FA_BLOCKED_BACKUP_CODE	164	Учетная запись пользователя заблокирована по политике блокировки в результате исчерпания лимита попыток ввода резервного кода 2FA	WARNING	Lemmus	User '${`username}'` has been blocked by lockout policy, backup code attempt limit reached	userIp - адрес с которого выполнялось подключение sourceName - имя источника, через который была совершена попытка аутентификации method - используемый метод двухфакторной аутентификации username - логин, с которым была совершена попытка аутентификации	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|164\|FAILED_USER_SESSION_TWO_FA_BLOCKED_BACKUP_CODE\|10\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user' has been blocked by lockout policy, backup code attempt limit reached. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547777 userIp=192.168.1.100 sourceName=Internal DB method=EMAIL_OTP username=test-user-1
FAILED_USER_SESSION_INVALID_BACKUP_CODE	166	Пользователь провалил 2FA, указан неверный резервный код	WARNING	Lemmus	User with login '${`username}'` through '${sourceName}' source from ip '${userIp}' failed 2FA, invalid backup code	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|166\|FAILED_USER_SESSION_INVALID_BACKUP_CODE\|10\|src=172.16.0.2 suser=test-user-1 msg=User with login 'test-user' through 'Internal DB' source from ip '192.168.1.100' failed 2FA authentication, invalid backup code. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547777 userIp=192.168.1.100 sourceName=Internal DB username=test-user-1

Сессии пользователей портала "Мой доступ"

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
ACCESS_CABINET_LOGIN	191	Владелец доступа вошёл в портал «Мой доступ» с использованием однофакторной аутентификации - по логину/паролю.	INFO	Lemmus	Access owner with login '${username}' through source '${sourceName}' signed in to My Access with 1FA.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:25:58 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|191\|ACCESS_CABINET_LOGIN\|6\|src=172.16.0.2 suser=tacacs.user msg=Access owner with login 'tacacs.user' through source 'Internal DB' signed in to My Access with 1FA. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791872758595 sourceName=Internal DB username=tacacs.user
USER_PORTAL_SESSION_TWO_FA_LOGIN	204	Владелец доступа вошёл в портал «Мой доступ» с использованием двухфакторной аутентификации.	INFO	Lemmus	Access owner with login '${username}' through source '${sourceName}' signed in to My Access with 2FA.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:40:39 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|204\|USER_PORTAL_SESSION_TWO_FA_LOGIN\|6\|src=172.16.0.2 suser=ivan_ivanov@test.loc msg=Access owner with login 'ivan_ivanov@test.loc' through source 'MS AD' signed in to My Access with 2FA. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791873639738 sourceName=MS AD username=ivan_ivanov@test.loc
USER_PORTAL_SESSION_LOGOUT	206	Владелец доступа вышел с портала «Мой доступ».	INFO	Lemmus	Access owner with login '${username}' through source '${sourceName}' signed out from the My Access portal.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:28:55 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|206\|USER_PORTAL_SESSION_LOGOUT\|3\|src=172.16.0.2 suser=tacacs.user msg=Access owner with login 'tacacs.user' through source 'Internal DB' signed out from the My Access portal. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791872935082 sourceName=Internal DB username=tacacs.user
ACCESS_CURRENT_CHANGED	195	Владелец доступа изменил параметры своей учётной записи.	INFO	Пользователь / Портал UI	Access owner with login '${username}' through source '${sourceName}' has updated their account settings.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:30:29 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|195\|ACCESS_CURRENT_CHANGED\|6\|src=172.20.8.16 suser=tacacs.user msg=Access owner with login 'tacacs.user' through source 'Internal DB' has updated their account settings. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791873029850 username=tacacs.user sourceName=Internal DB
ACCESS_TWO_FACTOR_ENROLL_COMPLETED	192	Владелец доступа завершил настройку 2FA в портале «Мой доступ».	INFO	Пользователь / Портал UI	Access owner with login '${username}' through source '${sourceName}' completed 2FA setup in My Access.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:00:08 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|192\|ACCESS_TWO_FACTOR_ENROLL_COMPLETED\|6\|msg=Access owner with login 'tacacs.user' through source 'Internal DB' completed 2FA setup in My Access. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791871208483 username=tacacs.user sourceName=Internal DB
ACCESS_BACKUP_CODES_REGENERATED	194	Владелец доступа перегенерировал резервные коды в портале «Мой доступ».	INFO	Пользователь / Портал UI	Access owner with login '${username}' through source '${sourceName}' regenerated backup codes in My Access.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:31:06 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|194\|ACCESS_BACKUP_CODES_REGENERATED\|10\|msg=Access owner with login 'tacacs.user' through source 'Internal DB' regenerated backup codes in My Access. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791873066230 username=tacacs.user sourceName=Internal DB
ACCESS_TWO_FACTOR_SELF_RESET	193	Владелец доступа сбросил 2FA в портале «Мой доступ».	INFO	Пользователь / Портал UI	Access owner with login `'${username}' through source '${sourceName}'` reset 2FA in My Access.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:31:40 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|193\|ACCESS_TWO_FACTOR_SELF_RESET\|10\|src=172.20.8.16 suser=tacacs.user msg=Access owner with login 'tacacs.user' through source 'Internal DB' reset 2FA in My Access. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791873100386 username=tacacs.user sourceName=Internal DB
USER_PORTAL_SESSION_EXPIRED	207	Сессия владельца доступа на портале «Мой доступ» истекла.	INFO	Lemmus	Session of access owner with login`'${username}' through source '${sourceName}'` on the My Access portal ended (expired).	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 07:27:05 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|207\|USER_PORTAL_SESSION_EXPIRED\|3\|src=172.16.0.2 suser=tacacs.user msg=Session of access owner with login 'tacacs.user' through source 'Internal DB' on the My Access portal ended (expired). dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791876425130 username=tacacs.user sourceName=Internal DB
USER_PORTAL_SESSION_TERMINATED	208	Сессия владельца доступа на портале «Мой доступ» была принудительно завершена.	INFO	Lemmus	Session of access owner with login `'${username}' through source '${sourceName}'` on the My Access portal was terminated.	username - логин, с которым была совершена попытка аутентификации sourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 05:58:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|208\|USER_PORTAL_SESSION_TERMINATED\|6\|src=172.16.0.2 suser=tacacs.user msg=Session of access owner with login 'tacacs.user' through source 'Internal DB' on the My Access portal was terminated. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791871131178 sourceName=Internal DB username=tacacs.user
FAILED_USER_PORTAL_SESSION_WRONG_USERNAME	175	Провал входа на портале «Мой доступ»: пользователь не найден / неверный логин.	WARNING	Lemmus	User failed authentication on the "My Access" portal with login'${`login}'` from ip '${`userIp}'`: user not found.	login - логин, с которым была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Oct 13 06:34:06 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|175\|FAILED_USER_PORTAL_SESSION_WRONG_USERNAME\|6\|src=172.16.0.2 suser=кцук msg=User failed authentication on the "My Access" portal with login 'кцук' from ip '192.168.1.100': user not found. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791873246180 userIp=192.168.1.100 externalSourceName=Unknown login=кцук error=Invalid credentials
FAILED_USER_PORTAL_SESSION_WRONG_PASSWORD	176	Провал входа на портале «Мой доступ»: неверный пароль.	WARNING	Lemmus	User failed authentication on the "My Access" portal with login '${`login}'` through '${`externalSourceName}'` source from ip '${`userIp}'`: wrong password.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Oct 13 06:35:06 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|176\|FAILED_USER_PORTAL_SESSION_WRONG_PASSWORD\|6\|src=172.16.0.2 suser=tacacs.user msg=User failed authentication on the "My Access" portal with login 'tacacs.user' through 'Internal DB' source from ip '192.168.1.100': wrong password. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791873306285 userIp=192.168.1.100 externalSourceName=Internal DB login=tacacs.user error=Authentication failed in 'Local DB': Password incorrect
FAILED_USER_PORTAL_SESSION_EMPTY_USERNAME	177	Попытка входа на портале «Мой доступ» без логина.	ERROR	Lemmus	Authentication attempt on the "My Access" portal without login from ip '${`userIp}'`.	userIp - адрес с которого выполнялось подключение	Oct 13 06:35:29 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|177\|FAILED_USER_PORTAL_SESSION_EMPTY_USERNAME\|8\|src=172.16.0.2 msg=Authentication attempt on the "My Access" portal without login from ip '192.168.1.100'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1791873329286 userIp=192.168.1.100 externalSourceName=Unknown error=Empty fields: username
FAILED_USER_PORTAL_SESSION_DISABLED	178	Провал входа на портале «Мой доступ»: отключенный аккаунт.	WARNING	Lemmus	User failed authentication on the "My Access" portal with login '${`login}'` through '${`externalSourceName}'` source from ip '${`userIp}'`: disabled account.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Oct 13 08:41:10 naice-test-hostCEF:1\|Eltex\|NAICE\|1.3.0\|178\|FAILED_USER_PORTAL_SESSION_DISABLED\|6\|src=172.16.0.2 suser=tacacs.user msg=User failed authentication on the "My Access" portal with login 'tacacs.user' through 'Internal DB' source from ip '192.168.1.100': disabled account. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791880870363 userIp=192.168.1.100 externalSourceName=Internal DB login=tacacs.user error=Identity user disabled
FAILED_USER_PORTAL_SESSION_UNAVAILABLE	179	Провал входа на портале «Мой доступ»: внешний источник недоступен.	WARNING	Lemmus	User failed authentication on the "My Access" portal with login '${`login}'` through '${`externalSourceName}'` source from ip '${`userIp}'`: external source unavailable.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение	Oct 13 06:39:27 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|179\|FAILED_USER_PORTAL_SESSION_UNAVAILABLE\|6\|src=172.16.0.2 suser=ivan_ivanov msg=User failed authentication on the "My Access" portal with login 'ivan_ivanov' through 'MS AD' source from ip '192.168.1.100': external source is unavailable. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791873567711 userIp=192.168.1.100 externalSourceName=MS AD login=ivan_ivanov error=Can't get user 'ivan_ivanov@test.loc' from 'MS AD', something went wrong! Logon failure: unknown user name or bad password.
FAILED_USER_PORTAL_SESSION_ERROR	180	Провал входа на портале «Мой доступ»: произошла ошибка.	ERROR	Lemmus	User failed authentication on the "My Access" portal with login '${`login}'` through '${`externalSourceName}'` source from ip '${`userIp}'`: error: '${`error}'`.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации userIp - адрес с которого выполнялось подключение error - полученная ошибка	Oct 13 06:56:23 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|180\|FAILED_USER_PORTAL_SESSION_ERROR\|8\|src=172.16.0.2 suser=user_1 msg=User failed authentication on the "My Access" portal with login 'user_1' through 'MS AD' source from ip '192.168.1.100': error: 'Unexpected server error: Cannot invoke "String.indexOf(int)" because "userName" is null'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1791874583344 userIp=192.168.1.100 externalSourceName=MS AD login=user_1 error=Unexpected server error: Cannot invoke "String.indexOf(int)" because "userName" is null
FAILED_USER_PORTAL_SESSION_REDIRECT_URI_FORBIDDEN	181	Попытка доступа к порталу «Мой доступ» по неразрешённому адресу.	WARNING	Lemmus	Attempted "My Access" portal access from disallowed address '${`redirectUri}'` from IP-address '${`userIp}'`.	redirectUri - адрес, на который пришел пользователь userIp - адрес с которого выполнялось подключение error - полученная ошибка	Oct 13 06:37:33 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|181\|FAILED_USER_PORTAL_SESSION_REDIRECT_URI_FORBIDDEN\|8\|src=172.16.0.2 msg=Attempted "My Access" portal access from disallowed address 'https://172.20.0.1/user-portal/auth/login' from IP-address '192.168.1.100'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791873453176 redirectUri=https://172.20.0.1/user-portal/auth/login userIp=192.168.1.100
FAILED_USER_PORTAL_SESSION_EMPTY_PASSWORD	183	Попытка входа на портале «Мой доступ» без пароля.	WARNING	Lemmus	Authentication attempt on the "My Access" portal without password from ip '${`userIp}'`.	userIp - адрес с которого выполнялось подключение	Oct 13 06:36:02 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|183\|FAILED_USER_PORTAL_SESSION_EMPTY_PASSWORD\|6\|src=172.16.0.2 suser=tacacs.user msg=Authentication attempt on the "My Access" portal without password from ip '192.168.1.100'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791873362720 userIp=192.168.1.100 externalSourceName=Unknown login=tacacs.user error=Empty fields: password
FAILED_USER_PORTAL_SESSION_TWO_FA_CODE	205	Провал входа по 2FA на портале «Мой доступ»: неверный код.	WARNING	Lemmus	User with login '${`login}'` through '${`externalSourceName}` source failed 2FA sign-in on the My Access portal: wrong code.	login - логин, с которым была совершена попытка аутентификации externalSourceName - имя источника, через который была совершена попытка аутентификации	Oct 13 06:43:02 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|205\|FAILED_USER_PORTAL_SESSION_TWO_FA_CODE\|6\|src=172.16.0.2 suser=user_1@test.loc msg=User with login 'user_1@test.loc' through 'MS AD' source failed 2FA sign-in on the My Access portal: wrong code. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1791873782463 login=user_1@test.loc externalSourceName=MS AD userIp=192.168.1.100
IDENTITY_PASSWORD_CHANGED	197	Пароль пользователя сети был изменён через портал или администратором.	INFO	Пользователь / Портал UI или Larus	Password for user '${identityUserName}' was changed via ${passwordChangeSource}.	identityUserName - логин пользователя сети passwordChangeSource - источник смены пароля ("административный интерфейс", "портал «Мой доступ»")	Oct 16 11:44:20 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|197\|IDENTITY_PASSWORD_CHANGED\|6\|src=172.16.0.2 suser=test-user-1 msg=Password for user 'User-1' was changed via portal. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1792125860468 identityUserName=User-1 passwordChangeSource=portal

Результаты отправки email-уведомлений

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
EMAIL_SEND_ERROR	134	Ошибка отправки уведомления на почту	ERROR	Сервис взаимодействия шлюзов (Bubo)	Error while sending email to `<email>`: `<error>`	email - адрес электронной почты получателя, на который система пыталась отправить уведомление error - детальное текстовое описание технической причины ошибки, возникшей при выполнении операции	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|134\|EMAIL_SEND_ERROR\|10\|src=172.16.0.2 suser=test-user-1 msg=Error while sending email to 'admin@example.com': 'License validation failed: Invalid signature' dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=ERROR start=1782457547771 error=License validation failed: Invalid signature email=admin@example.com
FAILED_USER_SESSION_TWO_FA_EMAIL_NOT_SENT	165	Пользователь не смог пройти 2FA, поскольку не было отправлено письмо на почту	WARNING	Сервис авторизации администраторов (Lemmus)	User `<username>` failed 2FA authentication with method `Email OTP`, email not sent to `<email>`: `<error>`.	username - логин пользователя, проходящего аутентификацию в системе email - адрес электронной почты получателя, на который система пыталась отправить код error - детальное текстовое описание технической причины ошибки, возникшей при выполнении операции	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|165\|FAILED_USER_SESSION_TWO_FA_EMAIL_NOT_SENT\|10\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user' failed 2FA authentication with method `Email OTP`, email not sent to 'admin@example.com': 'License validation failed: Invalid signature'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547777 error=License validation failed: Invalid signature email=admin@example.com username=test-user-1
FAILED_USER_ENROLL_TWO_FA_EMAIL_ERROR	167	Пользователь не смог активировать 2FA, поскольку не было отправлено письмо на почту	WARNING	Сервис авторизации администраторов (Lemmus)	User `<username>` failed enroll 2FA method `Email OTP`, email not sent to `<email>`: `<error>`.	sourceName - имя источника, через который была совершена попытка аутентификации login - логин, с которым была совершена попытка аутентификации email - адрес электронной почты получателя, на который система пыталась отправить код error - детальное текстовое описание технической причины ошибки, возникшей при выполнении операции	Jun 26 14:05:47 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|167\|FAILED_USER_ENROLL_TWO_FA_EMAIL_ERROR\|10\|src=172.16.0.2 suser=test-user-1 msg=User 'test-user-1' failed enroll 2FA method `Email OTP`, email not sent to 'admin@example.com': 'License validation failed: Invalid signature'. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=WARNING start=1782457547777 sourceName=Internal DB error=License validation failed: Invalid signature email=admin@example.com login=test-user-1

Обновление системных настроек

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
SERVER_CONFIG_CHANGED	144	Изменение настроек системы	INFO	Сервис управления конфигурацией (Phoca)	The following parameters have been applied: ${changedParams}	changedParams - список параметров системы, которые были изменены	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|144\|SERVER_CONFIG_CHANGED\|10\|src=172.16.0.2 suser=test-user-1 msg=The following parameters have been applied: \n • Logging level - Extended logs of RADIUS service: disabled → enabled dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1772786407307 changedParams=\n • Logging level - Extended logs of RADIUS service: disabled → enabled
DOCKER_CONFIG_APPLY_REQUEST	145	Запрос на изменение конфигурации контейнера	INFO	Сервис управления конфигурацией (Phoca)	A request was made to change the configuration of containers: ${containers}	hostname - имя хоста, в данном событии всегда имеет значение default containers - список контейнеров, в которых требуется изменение конфигурации	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|145\|DOCKER_CONFIG_APPLY_REQUEST\|10\|src=172.16.0.2 suser=test-user-1 msg=A request was made to change the configuration of containers: \n • naice-radius dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=DEBUG start=1772786407307 hostname=default containers=\n • naice-radius
DOCKER_CONFIG_APPLY_SUCCESS	146	Успешное изменение конфигурации контейнера	INFO	Сервис управления конфигурацией (Phoca)	Configuration applied for container ${containerName}.	containerName - имя контейнера, в котором была применена конфигурация	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|146\|DOCKER_CONFIG_APPLY_SUCCESS\|10\|src=172.16.0.2 suser=test-user-1 msg=Configuration applied for container naice-radius. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1772786407307 containerName=naice-radius
SPRING_CONFIG_APPLY_REQUEST	147	Отправлен запрос на применение конфигураций к spring сервису	DEBUG	Сервис управления конфигурацией (Phoca)	A request was made to change the configuration of services: ${services}.	hostname - имя хоста, в данном событии всегда имеет значение default services - список сервисов, к которым было запрошено применение конфигурации	Jun 18 07:43:17 naice-docker CEF:1\|Eltex\|NAICE\|1.3.0\|147\|SPRING_CONFIG_APPLY_REQUEST\|8\|src=172.20.8.4 suser=system msg=A request was made to change the configuration of services: \n • gavia\n • bubo\n • mustela\n • ursus\n • lemmus. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=DEBUG start=1785751170593 hostname=default services=\n • gavia\n • bubo\n • mustela\n • ursus\n • lemmus
SPRING_CONFIG_APPLY_SUCCESS	148	Успешное изменение конфигурации сервиса	INFO	Сервис управления конфигурацией (Phoca)	Configuration applied for service ${serviceName}.	serviceName - имя сервиса, в котором была применена конфигурация	Mar 06 15:40:07 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|148\|SPRING_CONFIG_APPLY_SUCCESS\|8\|src=172.16.0.2 suser=test-user-1 msg=Configuration applied for service ursus. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1772786407307 serviceName=ursus

Обновление конфигурации политик TACACS+

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
CREATE_TACACS_POLICY_SET	83	Создан новый набор политик TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ policy set '${tacacsPolicySetName}' has been created.	tacacsPolicySetName - имя созданного набора политик Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|83\|CREATE_TACACS_POLICY_SET\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ policy set 'TacacsPolicySet-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583813 tacacsPolicySetName=TacacsPolicySet-1
UPDATE_TACACS_POLICY_SET	84	Изменены параметры наборов политик TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ policy sets '${tacacsPolicySetsNames}' have been edited.	tacacsPolicySetsNames - имена измененных наборов политик Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|84\|UPDATE_TACACS_POLICY_SET\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ policy sets 'TacacsPolicySet-1' have been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583813 tacacsPolicySetsNames=TacacsPolicySet-1
DELETE_TACACS_POLICY_SETS	85	Удалены наборы политик TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ policy sets '${tacacsPolicySetsNames}' have been deleted.	tacacsPolicySetNames - имена удаленных политик Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|85\|DELETE_TACACS_POLICY_SETS\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ policy sets 'TacacsPolicySet-1' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583814 tacacsPolicySetsNames=TacacsPolicySet-1
CREATE_TACACS_PROFILE	86	Создан новый профиль TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ profile '${tacacsProfileName}' has been created.	tacacsProfileName - имя созданного профиля Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|86\|CREATE_TACACS_PROFILE\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ profile 'TacacsProfile-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583814 tacacsProfileName=TacacsProfile-1
UPDATE_TACACS_PROFILE	87	Изменены параметры профиля TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ profile '${tacacsProfileName}' has been edited.	tacacsProfileName - имя измененного профиля Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|87\|UPDATE_TACACS_PROFILE\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ profile 'TacacsProfile-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583814 tacacsProfileName=TacacsProfile-1
DELETE_TACACS_PROFILES	88	Удалены профили TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ profiles '${tacacsProfilesNames}' have been deleted.	tacacsProfilesNames - имена удаленных наборов Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|88\|DELETE_TACACS_PROFILES\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ profiles 'TacacsProfile-1' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583814 tacacsProfilesNames=TacacsProfile-1
CREATE_TACACS_COMMAND	89	Создан новый набор команд TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ command set '${tacacsCommandName}' has been created.	tacacsCommandName - имя созданного набора команд Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|89\|CREATE_TACACS_COMMAND\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ command set 'CommandSet-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583814 tacacsCommandName=CommandSet-1
UPDATE_TACACS_COMMAND	90	Изменены параметры набора команд TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ command set '${tacacsCommandName}' has been edited.	tacacsCommandName - имя изменненого набора команд Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|90\|UPDATE_TACACS_COMMAND\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ command set 'CommandSet-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583815 tacacsCommandName=CommandSet-1
DELETE_TACACS_COMMANDS	91	Удалены наборы команд TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ command sets '${tacacsCommandsNames}' have been deleted.	tacacsCommandNames - имена удаленных наборов команд Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|91\|DELETE_TACACS_COMMANDS\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ command sets 'CommandSet-1' have been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583815 tacacsCommandsNames=CommandSet-1
CREATE_TACACS_CONDITION	92	Создано новое условие для политик TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ condition '${tacacsConditionName}' has been created.	tacacsConditionName - имя созданного условия политик Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|92\|CREATE_TACACS_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ condition 'TacacsCondition-1' has been created. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583815 tacacsConditionName=TacacsCondition-1
UPDATE_TACACS_CONDITION	93	Изменены параметры условия для политик TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ condition '${tacacsConditionName}' has been edited.	tacacsConditionName - имя измененного условия политики Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|93\|UPDATE_TACACS_CONDITION\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ condition 'TacacsCondition-1' has been edited. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583815 tacacsConditionName=TacacsCondition-1
DELETE_TACACS_CONDITIONS	94	Удалены условия для политик TACACS+	INFO	Пользователь / UI (Larus)	TACACS+ conditions '${tacacsConditionsName}' has been deleted.	tacacsConditionsName - имя удаленного условия Tacacs+	Nov 05 11:23:03 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|94\|DELETE_TACACS_CONDITIONS\|6\|src=172.16.0.2 suser=test-user-1 msg=TACACS+ conditions 'TacacsCondition-1' has been deleted. dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1762316583816 tacacsConditionsName=TacacsCondition-1

Управление активными RADIUS-сессиями

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
COA	173	CoA запрос инициирован пользователем системы	INFO	Пользователь / UI (Larus)	A CoA request '<coaType>' was initiated by the system user for RADIUS sessions: <sessions>.	coaType - тип CoA-запроса session - ID сессии, для которой инициирован CoA-запрос	Oct 08 15:09:06 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|173\|COA\|6\|src=172.16.0.2 suser=test-user-1 msg=A CoA request 'REAUTH' was initiated by the system user for RADIUS sessions:\n • NAS IP: 192.168.1.2, Client MAC: AA:BB:CC:DD:EE:FF dst=172.20.0.1 dst_host=naice-destination-host-1 dpt=443 proto=HTTPS event_log_level=INFO start=1791446946678 coaType=REAUTH sessions=\n • NAS IP: 192.168.1.2, Client MAC: AA:BB:CC:DD:EE:FF

RADIUS

Аутентификация

Возможные поля в событиях:

device_profile - профиль устройства, под который попал NAS
device_type - системная группа устройств, определяющая тип устровства
authentication_protocol - протокол аутентификации
nas_ip_address - ip адрес NAS устройства
nas_port_type - значение Radius атрибута NAS-Port-Type
network_device - имя NAS устройства в системе NAICE
session_creation_timestamp - время создания пользовательской сессии
policy_set - политика, под которую попал пользователь
authentication_policy - политика аутентификации, под которую попал пользователь
session_status - состояние сессии: CREATED/ACCEPTED/REJECTED/EXPIRED
identity_source - имя источника, через который аутентифицировался пользователь
identity_source_type - тип источника аутентификации
device_location - системная группа расположения устройств
authorization_policy - политика авторизации под которую попал пользователь
acct_session_id - значение атрибута Acct-Session-Id Radius
session_updating_timestamp - время обновления сессии
flow_type - тип подключения пользователя
calling_station_id - значение Radius атрибута Calling-Station-Id
username - логин пользователя

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
RADIUS_SESSION_CREATED	95	Создана новая RADIUS сессия	INFO	Сервис авторизации пользователей (Ovis)	RADIUS session was created.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|95\|RADIUS_SESSION_CREATED\|6\|src=192.168.1.2 suser=test-user-1 msg=RADIUS session was created. dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1771988451901 device_profile=Eltex MES device_type=Switch authentication_protocol=eap-tls nas_ip_address=192.168.1.2 nas_port_type=Ethernet network_device=Switch-1 hostname=naice-production-server session_creation_timestamp=2025-10-17T10:00:00Z policy_set=Test Policy Set vendor=Eltex authentication_policy=Test Auth Policy session_status=CREATED event=INFO identity_source=Internal Users device_location=Building 1 acct_session_id=session-12345 service_type=Login session_updating_timestamp=2025-10-17T10:05:00Z flow_type=Wired802_1x service=naice-service authorization_policy=Test Authz Policy identity_source_type=LOCAL calling_station_id=AA:BB:CC:DD:EE:FF username=test-user-1
RADIUS_AUTHENTICATION_SUCCESS	96	RADIUS сессия успешно прошла аутентификацию	INFO	Сервис авторизации пользователей (Ovis)	RADIUS session success auth.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|96\|RADIUS_AUTHENTICATION_SUCCESS\|6\|src=192.168.1.2 suser=test-user-1 msg=RADIUS session success auth. dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1771988451901 device_profile=Eltex MES device_type=Switch authentication_protocol=eap-tls nas_ip_address=192.168.1.2 nas_port_type=Ethernet network_device=Switch-1 hostname=naice-production-server session_creation_timestamp=2025-10-17T10:00:00Z policy_set=Test Policy Set vendor=Eltex authentication_policy=Test Auth Policy session_status=ACCEPTED event=SUCCESS identity_source=Internal Users device_location=Building 1 acct_session_id=session-12345 service_type=Login session_updating_timestamp=2025-10-17T10:05:00Z flow_type=Wired802_1x service=naice-service authorization_policy=Test Authz Policy identity_source_type=LOCAL calling_station_id=AA:BB:CC:DD:EE:FF username=test-user-1
RADIUS_SESSION_EXPIRED	97	RADIUS сессия истекла	INFO	Сервис авторизации пользователей (Ovis)	RADIUS session is expired.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|97\|RADIUS_SESSION_EXPIRED\|6\|src=192.168.1.2 suser=test-user-1 msg=RADIUS session is expired. dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1771988451902 device_profile=Eltex MES device_type=Switch authentication_protocol=eap-tls nas_ip_address=192.168.1.2 nas_port_type=Ethernet network_device=Switch-1 hostname=naice-production-server session_creation_timestamp=2025-10-17T10:00:00Z policy_set=Test Policy Set vendor=Eltex authentication_policy=Test Auth Policy session_status=EXPIRED event=INFO identity_source=Internal Users device_location=Building 1 acct_session_id=session-12345 service_type=Login session_updating_timestamp=2025-10-17T10:05:00Z flow_type=Wired802_1x service=naice-service authorization_policy=Test Authz Policy identity_source_type=LOCAL calling_station_id=AA:BB:CC:DD:EE:FF username=test-user-1
RADIUS_SESSION_REJECTED	98	RADIUS сессия отклонена	WARNING	Сервис авторизации пользователей (Ovis)	RADIUS session is rejected.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|98\|RADIUS_SESSION_REJECTED\|6\|src=192.168.1.2 suser=test-user-1 msg=RADIUS session is rejected. dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=WARNING start=1771988451902 device_profile=Eltex MES device_type=Switch authentication_protocol=eap-tls nas_ip_address=192.168.1.2 nas_port_type=Ethernet network_device=Switch-1 hostname=naice-production-server session_creation_timestamp=2025-10-17T10:00:00Z policy_set=Test Policy Set vendor=Eltex authentication_policy=Test Auth Policy session_status=REJECTED event=INFO identity_source=Internal Users device_location=Building 1 acct_session_id=session-12345 service_type=Login session_updating_timestamp=2025-10-17T10:05:00Z flow_type=Wired802_1x service=naice-service authorization_policy=Test Authz Policy identity_source_type=LOCAL calling_station_id=AA:BB:CC:DD:EE:FF username=test-user-1

Динамическое изменение авторизации RADIUS CoA

Возможные поля в событиях:

coaType - тип CoA-запроса
clientMac - MAC-адрес устройства идентификации пользователя
nasIp - IP-адрес устройства идентификации пользователя

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
COA_BY_USER	172	CoA запрос отправлен пользователем системы	INFO	Пользователь / UI (Larus)	A CoA request '<coaType>' was sent by the system user to RADIUS session: NAS IP: <nasIp>, Client MAC: <clientMac>.	Указаны над таблицей.	Oct 08 13:01:52 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|172\|COA_BY_USER\|8\|src=192.168.1.2 suser=test-user-1 msg=A CoA request 'REAUTH' was sent by the system user to RADIUS session: NAS IP: 192.168.1.2, Client MAC: AA:BB:CC:DD:EE:FF dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1791439312608 clientMac=AA:BB:CC:DD:EE:FF nasIp=192.168.1.2 coaType=REAUTH
COA_BY_PORTAL	174	CoA запрос отправлен порталом	INFO	Сервис портальной авторизации (Castor)	A CoA request '<coaType>' was sent by the portal to RADIUS session: NAS IP: <nasIp>, Client MAC: <clientMac>.	Указаны над таблицей.	Oct 08 13:01:52 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|174\|COA_BY_PORTAL\|8\|src=192.168.1.2 suser=test-user-1 msg=A CoA request 'REAUTH' was sent by the portal to RADIUS session: NAS IP: 192.168.1.2, Client MAC: AA:BB:CC:DD:EE:FF dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1791439312608 clientMac=AA:BB:CC:DD:EE:FF nasIp=192.168.1.2 coaType=REAUTH
COA_BY_PROFILING	209	CoA запрос отправлен профилированием	INFO	Сервис профилирования (Vulpus)	A CoA request '<coaType>' was sent based on endpoint profiling to RADIUS session: Client MAC: <clientMac>, NAS IP: <nasIp>.	Указаны над таблицей.	Oct 08 13:01:52 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|209\|COA_BY_PROFILING\|8\|src=192.168.1.2 suser=test-user-1 msg=A CoA request 'REAUTH' was sent based on endpoint profiling (Client MAC: AA:BB:CC:DD:EE:FF, NAS IP: 102.168.1.2) dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1791439312608 clientMac=AA:BB:CC:DD:EE:FF nasIp=192.168.1.2 coaType=REAUTH
COA_BY_POSTURING	210	CoA запрос отправлен проверкой соответствия ИБ	INFO	Сервис проверки соответствия политикам ИБ (Orca)	A CoA request '<coaType>' was sent based on endpoint posture change to RADIUS session: Client MAC: <clientMac>, NAS IP: <nasIp>.	Указаны над таблицей.	Oct 08 13:01:52 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|209\|COA_BY_POSTURING\|8\|src=192.168.1.2 suser=test-user-1 msg=A CoA request 'REAUTH' was sent based on endpoint posture change (Client MAC: AA:BB:CC:DD:EE:FF, NAS IP: 102.168.1.2) dst=10.10.0.1 dst_host=naice-destination-host-1 dpt=1812 proto=RADIUS event_log_level=INFO start=1791439312608 clientMac=AA:BB:CC:DD:EE:FF nasIp=192.168.1.2 coaType=REAUTH

TACACS+

Аутентификация

Возможные поля в событиях:

device_profile - профиль устройства, под который попал NAS
device_type - системная группа устройств, определяющая тип устровства
authentication_protocol - протокол аутентификации
nas_ip_address - ip адрес NAS устройства
nas_port_type - значение Radius атрибута NAS-Port-Type
network_device - имя NAS устройства в системе NAICE
session_creation_timestamp - время создания пользовательской сессии
policy_set - политика, под которую попал пользователь
authentication_policy - политика аутентификации, под которую попал пользователь
session_status - состояние сессии: CREATED/ACCEPTED/REJECTED/EXPIRED
identity_source - имя источника, через который аутентифицировался пользователь
identity_source_type - тип источника аутентификации
device_location - системная группа расположения устройств
authorization_policy - политика авторизации под которую попал пользователь
acct_session_id - значение атрибута Acct-Session-Id Radius
session_updating_timestamp - время обновления сессии
remoteAddress - адрес устройства с которого администратор настраивает сетевое устройство
flow_type - тип подключения пользователя
calling_station_id - значение Radius атрибута Calling-Station-Id
username - логин пользователя
twoFaVerified - результат проверки 2FA: success/fail/not_applied (при включённой глобальной 2FA для TACACS+)

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
TACACS_AUTHENTICATION_ACCESS_START	103	Пользователь начал аутентификацию доступа через TACACS+	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' start authentication via '${authenProtocol}'.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|103\|TACACS_AUTHENTICATION_ACCESS_START\|3\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' start authentication via 'SSH'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451906 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=START packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=START deviceLocation=Data Center A
TACACS_AUTHENTICATION_ACCESS_SUCCESS	104	Пользователь успешно прошел аутентификацию доступа через TACACS+ по 1FA или 2FA	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' successfully authenticate via '${authenProtocol}'.	Указаны над таблицей.	Oct 14 10:32:17 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|104\|TACACS_AUTHENTICATION_ACCESS_SUCCESS\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'device-user-1' successfully authenticate via 'SSH'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1791966737414 identitySourceType=LDAP authenticationPolicyName=Default Auth Policy authorizationPolicyName=Default Authorize Policy userInternalGroups=admins;auditors attemptPasswordCount=0 deviceName=Router-1 requestArguments=arg2\=val2 authenticationStatus=PASS creationTime=1760695200000 authenProtocol=SSH packetType=AUTHEN deviceType=Router tacacsCommand=show running-config port=SSH authenMethod=TACACS attemptUserCount=1 status=PASS authenService=LOGIN replyArguments=arg1\=val1 remoteAddress=10.0.0.2 twoFaVerified=success acctEventType=LOGIN commandSetName=Default Command Set policySetName=Default Policy Set userExternalGroups=Domain Admins deviceLocation=Data Center A privilegeLvl=15 profileName=Default Tacacs Profile hostname=naice-production-server identitySourceName=msad.eltex.loc tacacsUsername=device-user-1 deviceModel=ESR1000 deviceIp=192.168.10.1 service=naice-service failReason=N/A deviceProfile=Eltex ESR
TACACS_AUTHENTICATION_ACCESS_SUCCESS	104		INFO	Сервис Tacacs+ (Aquila)		Указаны над таблицей.		TACACS_AUTHENTICATION_ACCESS_FAILED	105	Пользователь не прошел аутентификацию доступа через TACACS+	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' failed authentication via '${authenProtocol}'.	Указаны над таблицей.	Oct 14 10:32:17 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|105\|TACACS_AUTHENTICATION_ACCESS_FAILED\|8\|src=10.0.0.2 suser=test-user-1 msg=User 'device-user-1' failed authentication via 'SSH'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1791966737415 identitySourceType=LDAP authenticationPolicyName=Default Auth Policy authorizationPolicyName=Default Authorize Policy userInternalGroups=admins;auditors attemptPasswordCount=0 deviceName=Router-1 requestArguments=arg2\=val2 authenticationStatus=FAIL creationTime=1760695200000 authenProtocol=SSH packetType=AUTHEN deviceType=Router tacacsCommand=show running-config port=SSH authenMethod=TACACS attemptUserCount=1 status=FAIL authenService=LOGIN replyArguments=arg1\=val1 remoteAddress=10.0.0.2 twoFaVerified=fail acctEventType=LOGIN commandSetName=Default Command Set policySetName=Default Policy Set userExternalGroups=Domain Admins deviceLocation=Data Center A privilegeLvl=15 profileName=Default Tacacs Profile hostname=naice-production-server identitySourceName=msad.eltex.loc tacacsUsername=device-user-1 deviceModel=ESR1000 deviceIp=192.168.10.1 service=naice-service failReason=N/A deviceProfile=Eltex ESR
TACACS_AUTHENTICATION_ENABLE_START	106	Пользователь начал аутентификацию для изменения уровня привилегий	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' start to change privilege level to '${privilegeLvl}' via '${authenProtocol}'.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|106\|TACACS_AUTHENTICATION_ENABLE_START\|3\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' start to change privilege level to '15' via 'SSH'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451907 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=START packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=START deviceLocation=Data Center A
TACACS_AUTHENTICATION_ENABLE_SUCCESS	107	Пользователь успешно изменил уровень привилегий	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' successfully changed privilege level to '${privilegeLvl}' via '${authenProtocol}'.	Указаны над таблицей.	Oct 14 10:32:17 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|107\|TACACS_AUTHENTICATION_ENABLE_SUCCESS\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'device-user-1' successfully changed privilege level to '15' via 'SSH'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1791966737415 identitySourceType=LDAP authenticationPolicyName=Default Auth Policy authorizationPolicyName=Default Authorize Policy userInternalGroups=admins;auditors attemptPasswordCount=0 deviceName=Router-1 requestArguments=arg2\=val2 authenticationStatus=PASS creationTime=1760695200000 authenProtocol=SSH packetType=AUTHEN deviceType=Router tacacsCommand=show running-config port=SSH authenMethod=TACACS attemptUserCount=1 status=PASS authenService=LOGIN replyArguments=arg1\=val1 remoteAddress=10.0.0.2 twoFaVerified=success acctEventType=LOGIN commandSetName=Default Command Set policySetName=Default Policy Set userExternalGroups=Domain Admins deviceLocation=Data Center A privilegeLvl=15 profileName=Default Tacacs Profile hostname=naice-production-server identitySourceName=msad.eltex.loc tacacsUsername=device-user-1 deviceModel=ESR1000 deviceIp=192.168.10.1 service=naice-service failReason=N/A deviceProfile=Eltex ESR
TACACS_AUTHENTICATION_ENABLE_FAILED	108	Пользователь не смог изменить уровень привилегий	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' failed to change privilege level to '${privilegeLvl}' via '${authenProtocol}'.	Указаны над таблицей.	Oct 14 10:32:17 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|108\|TACACS_AUTHENTICATION_ENABLE_FAILED\|8\|src=10.0.0.2 suser=test-user-1 msg=User 'device-user-1' failed to change privilege level to '15' via 'SSH'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1791966737415 identitySourceType=LDAP authenticationPolicyName=Default Auth Policy authorizationPolicyName=Default Authorize Policy userInternalGroups=admins;auditors attemptPasswordCount=0 deviceName=Router-1 requestArguments=arg2\=val2 authenticationStatus=FAIL creationTime=1760695200000 authenProtocol=SSH packetType=AUTHEN deviceType=Router tacacsCommand=show running-config port=SSH authenMethod=TACACS attemptUserCount=1 status=FAIL authenService=LOGIN replyArguments=arg1\=val1 remoteAddress=10.0.0.2 twoFaVerified=fail acctEventType=LOGIN commandSetName=Default Command Set policySetName=Default Policy Set userExternalGroups=Domain Admins deviceLocation=Data Center A privilegeLvl=15 profileName=Default Tacacs Profile hostname=naice-production-server identitySourceName=msad.eltex.loc tacacsUsername=device-user-1 deviceModel=ESR1000 deviceIp=192.168.10.1 service=naice-service failReason=N/A deviceProfile=Eltex ESR

Авторизация

Возможные поля в событиях:

profileName - имя профиля под который попал администратор
deviceIp - адрес устройства, на котором пользователь выполняет команду
requestArguments - аргументы выполняемой команды
authorizationPolicyName - политика авторизации, под которую попал администратор
creationTime - время создания записи
authenticationPolicyName - политика аутентификации под которую попал администратор
identitySourceName - имя источника аутентификации
commandSetName - имя набора команд
deviceProfile - профиль устройства на котором пользователь выполняет команду
tacacsUsername - логин администратора
attemptUserCount - количество попыток запроса логина
attemptPasswordCount - количество попыток запроса пароля
privilegeLvl - уровень привилегии
remoteAddress - адрес устройства с которого администратор настраивает сетевое устройство
authenMethod - метод аутентификации
failReason - описание ошибки

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
TACACS_AUTHORIZATION_ACCESS_SUCCESS	99	Пользователь успешно прошел авторизацию доступа	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' successfully authorized via TACACS.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|99\|TACACS_AUTHORIZATION_ACCESS_SUCCESS\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' successfully authorized via TACACS. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451904 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=PASS packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=PASS deviceLocation=Data Center A
TACACS_AUTHORIZATION_ACCESS_FAILED	100	Пользователь не прошел авторизацию доступа	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' failed authorization via TACACS.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|100\|TACACS_AUTHORIZATION_ACCESS_FAILED\|8\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' failed authorization via TACACS. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451905 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=FAIL packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=FAIL deviceLocation=Data Center A
TACACS_AUTHORIZATION_CMD_SUCCESS	101	Пользователь авторизован для выполнения команды	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' authorized to execute command '${tacacsCommand}'	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|101\|TACACS_AUTHORIZATION_CMD_SUCCESS\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' authorized to execute command 'show running-config'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451905 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=PASS packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=PASS deviceLocation=Data Center A
TACACS_AUTHORIZATION_CMD_FAILED	102	Пользователь не авторизован для выполнения команды	INFO	Сервис Tacacs+ (Aquila)	User '${tacacsUsername}' failed authorization to execute command '${tacacsCommand}'.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|102\|TACACS_AUTHORIZATION_CMD_FAILED\|8\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' failed authorization to execute command 'show running-config'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451905 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=FAIL packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=FAIL deviceLocation=Data Center A

Accounting

Возможные поля в событиях:

profileName - имя профиля под который попал администратор
deviceIp - адрес устройства, на котором пользователь выполняет команду
requestArguments - аргументы выполняемой команды
authorizationPolicyName - политика авторизации, под которую попал администратор
creationTime - время создания записи
authenticationPolicyName - политика аутентификации под которую попал администратор
identitySourceName - имя источника аутентификации
commandSetName - имя набора команд
deviceProfile - профиль устройства на котором пользователь выполняет команду
tacacsUsername - логин администратора
attemptUserCount - количество попыток запроса логина
attemptPasswordCount - количество попыток запроса пароля
privilegeLvl - уровень привилегии
remoteAddress - адрес устройства с которого администратор настраивает сетевое устройство
authenMethod - метод аутентификации
failReason - описание ошибки
acctEventType - тип события аккаунтинга: LOGIN/COMMAND/LOGOUT

Name	Device Event Class ID	Описание	Уровень	Источник	Шаблон сообщения	Поля	Пример события (CEF)
TACACS_ACCOUNTING_LOGIN	109	Пользователь успешно прошел авторизацию доступа	INFO	Сервис TACACS+ (Aquila)	User '${tacacsUsername}' login.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|109\|TACACS_ACCOUNTING_LOGIN\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' login. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451908 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=INFO packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=INFO deviceLocation=Data Center A
TACACS_ACCOUNTING_LOGOUT	110	Пользователь не прошел авторизацию доступа	INFO	Сервис TACACS+ (Aquila)	User '${tacacsUsername}' logout.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|110\|TACACS_ACCOUNTING_LOGOUT\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' logout. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451909 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=INFO packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=INFO deviceLocation=Data Center A
TACACS_ACCOUNTING_CMD	111	Пользователь авторизован для выполнения команды	INFO	Сервис TACACS+ (Aquila)	User '${tacacsUsername}' execute command '${tacacsCommand}'.	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|111\|TACACS_ACCOUNTING_CMD\|6\|src=10.0.0.2 suser=test-user-1 msg=User 'tacacs-user-1' execute command 'show running-config'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451909 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=INFO packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=INFO deviceLocation=Data Center A
TACACS_ACCOUNTING_UNKNOWN	112	Пользователь не авторизован для выполнения команды	INFO	Сервис TACACS+ (Aquila)	Unknown accounting event for user '${tacacsUsername}'	Указаны над таблицей.	Feb 25 10:00:51 naice-test-host CEF:1\|Eltex\|NAICE\|1.3.0\|112\|TACACS_ACCOUNTING_UNKNOWN\|8\|src=10.0.0.2 suser=test-user-1 msg=Unknown accounting event for user tacacs-user-1'. dst=192.168.10.1 dst_host=naice-destination-host-1 dpt=49 proto=TACACS event_log_level=INFO start=1771988451909 profileName=Profile-1 deviceIp=192.168.10.1 requestArguments=arg2\=val2 authorizationPolicyName=Default Authorize Policy acctEventType=LOGIN creationTime=1771988451807 authenticationPolicyName=Default Auth Policy attemptUserCount=1 authenMethod=TACACS identitySourceName=msad.eltex.loc deviceName=Device-1 commandSetName=Default Command Set deviceProfile=Eltex ESR authenProtocol=SSH hostname=naice-production-server tacacsUsername=tacacs-user-1 failReason=N/A attemptPasswordCount=0 privilegeLvl=15 remoteAddress=10.0.0.2 authenticationStatus=INFO packetType=AUTHEN deviceType=Router tacacsCommand=show running-config policySetName=Default Policy Set authenService=LOGIN userInternalGroups=admins;auditors userExternalGroups=Domain Admins replyArguments=arg1\=val1 port=SSH service=naice-service identitySourceType=LDAP deviceModel=ESR1000 status=INFO deviceLocation=Data Center A