{
"name": "auth_palo_alto",
"enabled": true,
"comment": "События User-ID",
"script": "palo_alto_authfeed.lua",
"on_error": false,
"listenAddress": {
"ipAddress": "192.0.2.20",
"port": 10514,
"tcp": false,
"ssl": false
}
}Разрешение имён и идентификация пользователей
Служба sensor-identity добавляет контекст, полученный из внешних источников. Файл /opt/alertixnta/config/identity.json содержит массивы dnsServers, dnsblServers, authFeeds и secFeeds. Для каждого профиля задаётся собственное имя и признак enabled. Источники следует включать осознанно: они создают сетевые обращения и влияют на интерпретацию событий.
Таблица. Параметры DNS-профилей
| Параметр | Значения | Назначение и особенности |
|---|---|---|
enabled | true / false; false для профиля без включения | Активность источника. |
name и comment | Строки | Имя профиля и назначение. |
attemptsCount | Целое; 1 | Число попыток обратного разрешения адреса. |
ttlForUnknown | Секунды; 3600 | Время хранения отрицательного результата. |
minTtl | Секунды; 300 | Нижняя граница TTL кэша. |
maxTtl | Секунды; 604800 | Верхняя граница TTL кэша, 7 дней. |
servers[] | Объекты ipAddress и port | Список серверов; стандартный DNS-порт 53. |
Для внутренних адресов используйте DNS, знающий внутренние зоны. Профили dnsblServers применяются для репутационных проверок и имеют аналогичную структуру. Проверьте доступность и условия использования выбранного источника до включения; имя узла, отсутствие PTR и репутационная находка имеют разный смысл и не должны смешиваться в правилах.
Данные о пользователях поступают через authFeeds от средств аутентификации, прокси, межсетевых экранов или коллектора журналов. Точность связи «IP — пользователь» зависит от полноты и своевременности этих событий. При NAT, общих терминальных серверах и переиспользовании адресов отдельно проверяйте, достаточно ли входных данных для однозначной привязки.
Таблица. Параметры authFeeds
| Параметр | Значения | Назначение и особенности |
|---|---|---|
enabled | true / false; false | Включает профиль и его слушатель. |
name и comment | Строки | Имя и назначение источника. |
script | Имя Lua-файла | Обработчик из scripts/auth-log/. |
on_error | true / false; false | Вызов функции on_error скрипта при ошибке. |
listenAddress.ipAddress | IP; 0.0.0.0 | Адрес прослушивания. Для ограниченной доступности задавайте адрес нужной сети. |
listenAddress.port | Номер порта | Согласуется с отправителем. |
listenAddress.tcp | true / false; false | true — TCP; false — UDP. |
listenAddress.ssl | true / false; false | TLS, действует при tcp: true. |
Таблица. Обработчики событий аутентификации
| Скрипт | Входные данные | Результат |
|---|---|---|
palo_alto_authfeed.lua | Palo Alto User-ID | Извлекает IP и имя пользователя. |
nxlog_authfeed.lua | Windows Security Log через NXLog | Извлекает IP, имя пользователя и SID. |
nxlog_dhcp_authfeed.lua | Microsoft DHCP через NXLog | Извлекает IP, имя пользователя и имя компьютера. |
nxlog_radius_authfeed.lua | RADIUS NPS через NXLog | Извлекает IP и имя пользователя. |
template_script_authfeed.lua | Пользовательский источник | Шаблон обработчика. |
cef_log_parser.lua | CEF-записи о файлах | Формирует событие о файле; не заполняет identity.* и не идентифицирует пользователя. |
Элемент добавляется в authFeeds. Разрешите порт только для согласованных источников, перечитайте sensor-identity и отправьте корректное контрольное событие. Затем проверьте обогащение сетевой активности того же IP. Наличие слушателя без распознанной записи аутентификации не подтверждает идентификацию.
Эта страница была полезна?
Спасибо за отзыв!
Спасибо, мы учтём это для улучшения документации.