Порядок изменения конфигурации on Alertix NTA

Безопасное внесение изменений

Mon, 01 Jan 0001 00:00:00 +0000

Рабочие JSON-файлы редактируют в UTF-8. Строки заключаются в двойные кавычки; true и false записываются без кавычек. Комментарии и завершающая запятая после последнего элемента не относятся к стандартному JSON. Поле comment предусмотрено только в тех объектах, где оно описано.

Определите файл, секцию и службу, которая читает параметр. Проверьте способ применения изменения.
Сохраните копию вне рабочего файла. Для связанного изменения нескольких конфигураций сохраните их вместе.
Внесите минимальное изменение и проверьте синтаксис. Не заменяйте весь файл коротким фрагментом из примера.
Выполните reload или restart. Проверьте журнал службы на ошибки чтения и активации.
Подайте контрольные данные. Сверьте результат на каждом затронутом участке и зафиксируйте итог.

Перечитывание и перезапуск

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Применение основных изменений

Файл	Операция	Исключения и особенности
ethercap.json	reload sensor-ethercap	Парсеры, фильтры, адаптеры, запись трафика и tcpLimits. Режим захвата и cpuSet — restart; hugepages — перезапуск группы.
pcap.json	reload sensor-pcap	Адаптеры и большинство флагов. Изменение tcpLimits — restart sensor-pcap.
icap.json	reload sensor-icap	Конфигурация проверяется до применения. Некоторые изменения пересоздают внутренний ICAP-сервер и затрагивают соединения.
identity.json	reload sensor-identity	Изменённые профили обогащения и источников.
analyser.json	reload sensor-analyser	Большинство параметров и кода L1–L4. Порядок существующих правил, L5, XML-фильтры и debug — restart.
transfer.json	reload sensor-transfer	Добавление, удаление и изменение профилей. Смена protocol, default и cpuSet — restart.
watcher.json	reload sensor-watcher	Правила записи журналов. cpuSet — restart.
anomaly.json	reload читающих служб	sensor-ethercap, sensor-pcap, sensor-identity, sensor-analyser — по изменённой секции.
quotas.json	restart analyser и transfer	Квоты результатов применяются соответствующими потребителями файла.
ipc.json	restart sensor.target	Изменение каналов и общих буферов требует перезапуска всех служб.

Файл

Операция

Исключения и особенности

ethercap.json

reload sensor-ethercap

Парсеры, фильтры, адаптеры, запись трафика и tcpLimits. Режим захвата и cpuSet — restart; hugepages — перезапуск группы.

pcap.json

reload sensor-pcap

Адаптеры и большинство флагов. Изменение tcpLimits — restart sensor-pcap.

icap.json

reload sensor-icap

Конфигурация проверяется до применения. Некоторые изменения пересоздают внутренний ICAP-сервер и затрагивают соединения.

identity.json

reload sensor-identity

Изменённые профили обогащения и источников.

analyser.json

reload sensor-analyser

Большинство параметров и кода L1–L4. Порядок существующих правил, L5, XML-фильтры и debug — restart.

transfer.json

reload sensor-transfer

Добавление, удаление и изменение профилей. Смена protocol, default и cpuSet — restart.

watcher.json

reload sensor-watcher

Правила записи журналов. cpuSet — restart.

anomaly.json

reload читающих служб

sensor-ethercap, sensor-pcap, sensor-identity, sensor-analyser — по изменённой секции.

quotas.json

restart analyser и transfer

Квоты результатов применяются соответствующими потребителями файла.

ipc.json

restart sensor.target

Изменение каналов и общих буферов требует перезапуска всех служб.

Если при перечитывании analyser.json, transfer.json или icap.json обнаружена ошибка JSON, служба сохраняет предыдущую рабочую конфигурацию. Поэтому отсутствие остановки ещё не означает, что правка применена. Для anomaly.json при запуске действует отдельное правило: ошибка чтения приводит к использованию встроенных значений, включая выключенный главный детектор. После изменения всегда проверяйте сообщения о загрузке.

Возврат к предыдущей конфигурации

Mon, 01 Jan 0001 00:00:00 +0000

sudo cp -a /opt/alertixnta/config/ethercap.json.before-change \
 /opt/alertixnta/config/ethercap.json
python3 -m json.tool /opt/alertixnta/config/ethercap.json \
 > /dev/null
sudo systemctl restart sensor-ethercap.service

Для отката нескольких взаимосвязанных настроек восстановите согласованный комплект файлов. Не удаляйте конфигурацию в расчёте на эквивалентное восстановление: значения при отсутствии файла и шаблон поставки могут различаться. Команда бинарного файла --config также не является универсальным откатом — отдельные службы перезаписывают файл минимальной конфигурацией и меняют набор профилей. Для возврата используйте сохранённую копию или осознанно подготовленную конфигурацию на основе config/init/.