Основные настройки анализатора

Файл /opt/alertixnta/config/analyser.json определяет ограничения собираемых объектов, фильтры, извлечение IoC-атрибутов и набор Lua-правил. Меняйте эти параметры после того, как подтверждено поступление исходных данных. Иначе отсутствие события можно ошибочно принять за проблему правила, хотя нужный пакет не дошёл до анализатора.

Таблица. Общие параметры analyser.json

ПараметрЗначенияНазначение и особенности

version

6.4

Версия формата файла.

cpuSet

Строка cpuset

Привязка потоков к ядрам. Для согласованного применения ко всем потокам используйте перезапуск.

maxFileSizeInMemory

Байты > 0; 10485760

До 10 МиБ объекта удерживается в памяти; более крупный объект может переноситься на диск.

maxFileSizeOnDisk

Байты > 0; 536870912

Предельный размер собираемого объекта на диске, 512 МиБ. Достижение приводит к усечению и error_collect=1.

rawFilter.enabled

true / false; false

Предварительный XML-фильтр HTTP.

rawFilter.fileName

http.filter.xml

Файл в config/filter/http/.

messageFilter.enabled

true / false; true

XML-фильтр сообщений.

messageFilter.fileName

msg.filter.xml

Файл в config/filter/.

iocAttributes.enabled

true / false; false

Общее включение передачи выбранных атрибутов на сопоставление с IoC.

Порог памяти — не лимит памяти всего анализатора: несколько объектов могут собираться одновременно. Если maxFileSizeOnDisk меньше либо равен maxFileSizeInMemory, перенос на диск не выполняется и объект обрезается на пороге памяти. При расследовании неполного файла проверьте error_collect и оба ограничения, а не только свободное место.