Анализ событий и правила обработки on Alertix NTA

Основные настройки анализатора

Mon, 01 Jan 0001 00:00:00 +0000

Файл /opt/alertixnta/config/analyser.json определяет ограничения собираемых объектов, фильтры, извлечение IoC-атрибутов и набор Lua-правил. Меняйте эти параметры после того, как подтверждено поступление исходных данных. Иначе отсутствие события можно ошибочно принять за проблему правила, хотя нужный пакет не дошёл до анализатора.

Таблица. Общие параметры analyser.json

Параметр	Значения	Назначение и особенности
version	6.4	Версия формата файла.
cpuSet	Строка cpuset	Привязка потоков к ядрам. Для согласованного применения ко всем потокам используйте перезапуск.
maxFileSizeInMemory	Байты > 0; 10485760	До 10 МиБ объекта удерживается в памяти; более крупный объект может переноситься на диск.
maxFileSizeOnDisk	Байты > 0; 536870912	Предельный размер собираемого объекта на диске, 512 МиБ. Достижение приводит к усечению и error_collect=1.
rawFilter.enabled	true / false; false	Предварительный XML-фильтр HTTP.
rawFilter.fileName	http.filter.xml	Файл в config/filter/http/.
messageFilter.enabled	true / false; true	XML-фильтр сообщений.
messageFilter.fileName	msg.filter.xml	Файл в config/filter/.
iocAttributes.enabled	true / false; false	Общее включение передачи выбранных атрибутов на сопоставление с IoC.

Параметр

Значения

Назначение и особенности

version

6.4

Версия формата файла.

cpuSet

Строка cpuset

Привязка потоков к ядрам. Для согласованного применения ко всем потокам используйте перезапуск.

maxFileSizeInMemory

Байты > 0; 10485760

До 10 МиБ объекта удерживается в памяти; более крупный объект может переноситься на диск.

maxFileSizeOnDisk

Байты > 0; 536870912

Предельный размер собираемого объекта на диске, 512 МиБ. Достижение приводит к усечению и error_collect=1.

rawFilter.enabled

true / false; false

Предварительный XML-фильтр HTTP.

rawFilter.fileName

http.filter.xml

Файл в config/filter/http/.

messageFilter.enabled

true / false; true

XML-фильтр сообщений.

messageFilter.fileName

msg.filter.xml

Файл в config/filter/.

iocAttributes.enabled

true / false; false

Общее включение передачи выбранных атрибутов на сопоставление с IoC.

Порог памяти — не лимит памяти всего анализатора: несколько объектов могут собираться одновременно. Если maxFileSizeOnDisk меньше либо равен maxFileSizeInMemory, перенос на диск не выполняется и объект обрезается на пороге памяти. При расследовании неполного файла проверьте error_collect и оба ограничения, а не только свободное место.

Стадии и очереди

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Точки подключения правил

Стадия и массив workFlow	Каталог	Назначение
L1 — preFilter	scripts/an-prefilter/	Предварительная обработка и подготовка событий для детекторов.
L2 — detect	scripts/an-detect/	Протокольные и прикладные детекторы; порядок может определять доступность события последующим правилам.
L3 — postFilter	scripts/an-postfilter/	Постобработка, отбор и назначение транспортных профилей.
L4 — analyseIPC	scripts/an-ipcchannels/	Обработчики IPC-каналов.
L5 — onTimer	scripts/an-timers/	Периодические обработчики по таймеру.

Стадия и массив workFlow

Каталог

Назначение

L1 — preFilter

scripts/an-prefilter/

Предварительная обработка и подготовка событий для детекторов.

L2 — detect

scripts/an-detect/

Протокольные и прикладные детекторы; порядок может определять доступность события последующим правилам.

L3 — postFilter

scripts/an-postfilter/

Постобработка, отбор и назначение транспортных профилей.

L4 — analyseIPC

scripts/an-ipcchannels/

Обработчики IPC-каналов.

L5 — onTimer

scripts/an-timers/

Периодические обработчики по таймеру.

Таблица. Параметры workFlow.settings

Подключение собственного правила

Mon, 01 Jan 0001 00:00:00 +0000

Пользовательским правилам задавайте собственные имена. Изменения файлов, поставляемых с пакетом, сложнее сопровождать: обновление может заменить их новой версией. Начните с небольшой задачи, проверяйте правило на контрольной записи и только затем расширяйте область применения.

Подготовьте Lua-файл с корректным EntryPoint для выбранной стадии.
Разместите его в каталоге стадии с правами чтения служебного пользователя.
Добавьте запись name, enabled и on_error в соответствующий массив workFlow.
Проверьте JSON и примените изменение. Для перестановки существующих правил используйте restart sensor-analyser.
Найдите запись о загрузке скрипта в analyser.log. Проверьте положительный и отрицательный контрольные примеры.

Что применяется при перечитывании

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Поведение sensor-analyser при изменениях

Изменение	Применение	Особенности
Лимиты объекта, IoC, maxEventCount	reload	Новые значения применяются без полного перезапуска.
threadCount	reload с перестроением очередей	Операция меняет рабочие очереди; планируйте её с учётом нагрузки.
enabled и код L1–L4	reload	Изменённый код перечитывается даже при неизменном JSON.
Удаление записи работающего правила	Не использовать как отключение	Задайте enabled: false.
Перестановка существующих правил	restart	Порядок работающего набора не обновляется простой перестановкой строк и reload.
onTimer и код L5	restart	Применяются при запуске.
XML-фильтры rawFilter и messageFilter	restart	Для предсказуемого применения используйте перезапуск.
debug и quotas.json	restart	Читаются при запуске.

Изменение

Применение

Особенности

Лимиты объекта, IoC, maxEventCount

reload

Новые значения применяются без полного перезапуска.

threadCount

reload с перестроением очередей

Операция меняет рабочие очереди; планируйте её с учётом нагрузки.

enabled и код L1–L4

reload

Изменённый код перечитывается даже при неизменном JSON.

Удаление записи работающего правила

Не использовать как отключение

Задайте enabled: false.

Перестановка существующих правил

restart

Порядок работающего набора не обновляется простой перестановкой строк и reload.

onTimer и код L5

restart

Применяются при запуске.

XML-фильтры rawFilter и messageFilter

restart

Для предсказуемого применения используйте перезапуск.

debug и quotas.json

restart

Читаются при запуске.

В дополнение к правилам состав полей некоторых протокольных событий управляется config/metadata/proto.json. Он относится к извлекаемым метаданным TLS, HTTP, LDAP, DNS, NTP и ICMP. При изменении состава сохраняйте поля, которые используют детекторы, сопоставление индикаторов и приёмники; сокращение события может нарушить зависимые правила даже при исправной доставке.