Обогащение и индикаторы компрометации on Alertix NTA

Разрешение имён и идентификация пользователей

Mon, 01 Jan 0001 00:00:00 +0000

Служба sensor-identity добавляет контекст, полученный из внешних источников. Файл /opt/alertixnta/config/identity.json содержит массивы dnsServers, dnsblServers, authFeeds и secFeeds. Для каждого профиля задаётся собственное имя и признак enabled. Источники следует включать осознанно: они создают сетевые обращения и влияют на интерпретацию событий.

Таблица. Параметры DNS-профилей

Параметр	Значения	Назначение и особенности
enabled	true / false; false для профиля без включения	Активность источника.
name и comment	Строки	Имя профиля и назначение.
attemptsCount	Целое; 1	Число попыток обратного разрешения адреса.
ttlForUnknown	Секунды; 3600	Время хранения отрицательного результата.
minTtl	Секунды; 300	Нижняя граница TTL кэша.
maxTtl	Секунды; 604800	Верхняя граница TTL кэша, 7 дней.
servers[]	Объекты ipAddress и port	Список серверов; стандартный DNS-порт 53.

Параметр

Значения

Назначение и особенности

enabled

true / false; false для профиля без включения

Активность источника.

name и comment

Строки

Имя профиля и назначение.

attemptsCount

Целое; 1

Число попыток обратного разрешения адреса.

ttlForUnknown

Секунды; 3600

Время хранения отрицательного результата.

minTtl

Секунды; 300

Нижняя граница TTL кэша.

maxTtl

Секунды; 604800

Верхняя граница TTL кэша, 7 дней.

servers[]

Объекты ipAddress и port

Список серверов; стандартный DNS-порт 53.

Для внутренних адресов используйте DNS, знающий внутренние зоны. Профили dnsblServers применяются для репутационных проверок и имеют аналогичную структуру. Проверьте доступность и условия использования выбранного источника до включения; имя узла, отсутствие PTR и репутационная находка имеют разный смысл и не должны смешиваться в правилах.

Источники IoC

Mon, 01 Jan 0001 00:00:00 +0000

Профили secFeeds загружают данные источника при запуске, затем обновляют их по расписанию. Lua-сценарий определяет типы и формат индикаторов. Таблицы хранятся в cache/identity/; имя профиля входит в имя таблицы и сведения о происхождении совпадения.

Таблица. Параметры secFeeds

Параметр	Значения	Назначение и особенности
enabled	true / false; false	Включает загрузку профиля.
name	Уникальная строка	Идентификатор источника, поле feed в результате совпадения.
script	Имя файла	Обработчик из scripts/secfeeds/.
sourceUrl	HTTP или HTTPS URL	Адрес файла; для TAXII — корень API.
authHdrName	Строка; пустая	Имя заголовка авторизации, например Authorization или Auth-Key.
authHdrValue	Строка; пустая	Значение ключа доступа. Не включайте его в диагностические материалы.
postBody	Строка; пустая	Непустое тело переключает загрузку на POST.
transport	http / taxii; http	http загружает файл; taxii читает коллекцию TAXII 2.1 постранично.
taxiiCollectionId	Строка; пустая	Обязателен для taxii. Без него профиль работает как http и пишет предупреждение.
updateInterval	Секунды; 3600	Период обновления.
iocTtl	Секунды; 3600	Срок хранения индикатора.
on_error	true / false; false	Вызов обработчика ошибки сценария.

Параметр

Значения

Назначение и особенности

enabled

true / false; false

Включает загрузку профиля.

name

Уникальная строка

Идентификатор источника, поле feed в результате совпадения.

script

Имя файла

Обработчик из scripts/secfeeds/.

sourceUrl

HTTP или HTTPS URL

Адрес файла; для TAXII — корень API.

authHdrName

Строка; пустая

Имя заголовка авторизации, например Authorization или Auth-Key.

authHdrValue

Строка; пустая

Значение ключа доступа. Не включайте его в диагностические материалы.

postBody

Строка; пустая

Непустое тело переключает загрузку на POST.

transport

http / taxii; http

http загружает файл; taxii читает коллекцию TAXII 2.1 постранично.

taxiiCollectionId

Строка; пустая

Обязателен для taxii. Без него профиль работает как http и пишет предупреждение.

updateInterval

Секунды; 3600

Период обновления.

iocTtl

Секунды; 3600

Срок хранения индикатора.

on_error

true / false; false

Вызов обработчика ошибки сценария.

Выбирайте iocTtl с учётом updateInterval и допустимого перерыва обновления: если срок хранения истекает раньше следующей успешной загрузки, покрытие индикаторами уменьшается. Контролируйте не только включённость профиля, но и время последнего успешного обновления по identity.log. HTTP-загрузка ограничена по времени 60 секундами; TAXII читает до 256 страниц за обновление и продолжает со следующего участка.

Атрибуты для сопоставления

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры iocAttributes в analyser.json

Параметр	Значения	Назначение и особенности
enabled	false	Главный выключатель передачи атрибутов.
domain	true	DNS-имена, SNI TLS и QUIC, HTTP Host.
url	true	URL из HTTP, HTTP/2 и ICAP.
ip	false при отсутствии	Адреса из DNS A и AAAA; не все адреса сетевых сессий.
cookies, userAgent, email	false	Дополнительные атрибуты; включайте при наличии соответствующих индикаторов.
ja3, ja4	true	Отпечатки клиента.
ja3s, ja4s, ja4x, ja4xs	false	Дополнительные отпечатки сторон и сертификатов.
certSha1, certSha1s	false	Хэши сертификатов.
ja4h, ja4ssh	false	Отпечатки HTTP и SSH.
hassh, hasshServer, sshBanner	false	SSH-атрибуты.
fileHash.md5, fileHash.sha256	true	Хэши собираемых файлов.
fileHash.sha1, sha512, tlsh, ssdeep	false	Дополнительные хэши в объекте fileHash.

Параметр

Значения

Назначение и особенности

enabled

false

Главный выключатель передачи атрибутов.

domain

true

DNS-имена, SNI TLS и QUIC, HTTP Host.

url

true

URL из HTTP, HTTP/2 и ICAP.

false при отсутствии

Адреса из DNS A и AAAA; не все адреса сетевых сессий.

cookies, userAgent, email

false

Дополнительные атрибуты; включайте при наличии соответствующих индикаторов.

ja3, ja4

true

Отпечатки клиента.

ja3s, ja4s, ja4x, ja4xs

false

Дополнительные отпечатки сторон и сертификатов.

certSha1, certSha1s

false

Хэши сертификатов.

ja4h, ja4ssh

false

Отпечатки HTTP и SSH.

hassh, hasshServer, sshBanner

false

SSH-атрибуты.

fileHash.md5, fileHash.sha256

true

Хэши собираемых файлов.

fileHash.sha1, sha512, tlsh, ssdeep

false

Дополнительные хэши в объекте fileHash.

Сопоставление IoC выполняется по точному совпадению значения; IP-подсети CIDR здесь не поддерживаются. Для проверки IP участников сеансов удалённого доступа существует отдельный механизм rat_ioc. Не ожидайте, что включение iocAttributes.ip автоматически проверит все IP-адреса всего трафика.