Мониторинг и журналы on Alertix NTA

Ежедневная проверка

Mon, 01 Jan 0001 00:00:00 +0000

Цель контроля — подтвердить непрерывную цепочку от входных данных до получателя. Активный процесс, обновляющийся журнал и растущий счётчик характеризуют разные части этой цепочки. Для критичных источников полезно иметь повторяемое контрольное действие, по которому можно проверить поступление события.

systemctl --failed --no-pager
systemctl list-units --all 'sensor-*' --no-pager
free -h
df -h /opt/alertixnta
df -i /opt/alertixnta
sudo tail -n 100 /opt/alertixnta/log/errors.log
sudo tail -n 50 /opt/alertixnta/log/transfer.log

Таблица. Регулярные проверки

Область	Ожидаемое состояние	Проверка
Службы	Нет неожиданных остановок и циклов перезапуска	Проверить systemd и журналы конкретных компонентов.
Источники	Трафик соответствует рабочему времени и нагрузке	Сопоставить пакеты, скорость и состояние зеркалирования.
Анализ	Очереди не растут постоянно	Проверить IPC, CPU, ошибки правил и resource_exceeding.
Доставка	События поступают потребителям	Проверить счётчики профиля и фактический приём.
Диск	Есть резерв места и inode	Проверить журналы, PCAP, results, filedrop и кэши по отдельности.
IoC и обогащение	Источники обновляются	Проверить identity.log и сроки хранения.
Время	Узел синхронизирован	Проверить системный источник времени и временную шкалу событий.

Область

Ожидаемое состояние

Проверка

Службы

Нет неожиданных остановок и циклов перезапуска

Проверить systemd и журналы конкретных компонентов.

Источники

Трафик соответствует рабочему времени и нагрузке

Сопоставить пакеты, скорость и состояние зеркалирования.

Анализ

Очереди не растут постоянно

Проверить IPC, CPU, ошибки правил и resource_exceeding.

Доставка

События поступают потребителям

Проверить счётчики профиля и фактический приём.

Диск

Есть резерв места и inode

Проверить журналы, PCAP, results, filedrop и кэши по отдельности.

IoC и обогащение

Источники обновляются

Проверить identity.log и сроки хранения.

Время

Узел синхронизирован

Проверить системный источник времени и временную шкалу событий.

Назначение журналов

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Основные файлы в /opt/alertixnta/log

Файл	Источник	Содержимое
ethcap.log	sensor-ethercap	Адаптеры, режим захвата, загрузка парсеров и ошибки захвата.
pcap.log	sensor-pcap	Обнаружение каталогов, открытие и перемещение PCAP.
icap.log	sensor-icap	Клиентские соединения, протокол, ограничения и ошибки.
analyser.log	sensor-analyser	Лицензия, правила, обработка и ошибки анализа.
identity.log	sensor-identity	Обогащение, входные источники и загрузка индикаторов.
transfer.log	sensor-transfer	Инициализация профилей, отправка и ошибки получателей.
watcher.log	sensor-watcher	Маршрутизация и запись журналов.
errors.log	Сводный журнал	Ошибки и предупреждения из выбранных каналов.
threats.log	Находки	JSON-события ti_match, behavioral и protocol_anomaly.
cef-*.log	Протокольные события	CEF-записи; часть файлов объединяет несколько каналов.
!stat-*.log	Статистика	Данные статистики при соответствующей настройке записи.

Файл

Источник

Содержимое

ethcap.log

sensor-ethercap

Адаптеры, режим захвата, загрузка парсеров и ошибки захвата.

pcap.log

sensor-pcap

Обнаружение каталогов, открытие и перемещение PCAP.

icap.log

sensor-icap

Клиентские соединения, протокол, ограничения и ошибки.

analyser.log

sensor-analyser

Лицензия, правила, обработка и ошибки анализа.

identity.log

sensor-identity

Обогащение, входные источники и загрузка индикаторов.

transfer.log

sensor-transfer

Инициализация профилей, отправка и ошибки получателей.

watcher.log

sensor-watcher

Маршрутизация и запись журналов.

errors.log

Сводный журнал

Ошибки и предупреждения из выбранных каналов.

threats.log

Находки

JSON-события ti_match, behavioral и protocol_anomaly.

cef-*.log

Протокольные события

CEF-записи; часть файлов объединяет несколько каналов.

!stat-*.log

Статистика

Данные статистики при соответствующей настройке записи.

Журнал systemd полезен при проблемах запуска, зависимостях и аварийном завершении. Журналы в log/ содержат предметные сообщения компонентов. Если служба не успела подключиться к IPC или sensor-watcher не работает, отсутствие нового файла в log/ не означает отсутствие ошибок — начните с journalctl.

Настройка watcher

Mon, 01 Jan 0001 00:00:00 +0000

Файл watcher.json связывает IPC-каналы с файлами через logRules. Один канал можно направлять в несколько файлов с разными уровнями; несколько каналов можно собирать в один файл. Это позволяет хранить подробный журнал компонента и одновременно выделять ошибки в общий журнал.

Таблица. Глобальные параметры watcher.json

Параметр	Значения	Назначение и особенности
version	6.4	Версия формата.
cpuSet	Строка cpuset	Привязка к ядрам; изменение требует перезапуска.
logRotateDays	1–180 дней; 1 при отсутствии	Ротация по времени. Значение 0 при перечитывании не применяется.
logRules	Массив объектов	Правила записи каналов.

Параметр

Значения

Назначение и особенности

version

6.4

Версия формата.

cpuSet

Строка cpuset

Привязка к ядрам; изменение требует перезапуска.

logRotateDays

1–180 дней; 1 при отсутствии

Ротация по времени. Значение 0 при перечитывании не применяется.

logRules

Массив объектов

Правила записи каналов.

Таблица. Параметры logRules

Счётчики и признаки деградации

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Ключевые показатели

Счётчик	Смысл	Что проверять
received_packets / accepted_packets / processed_packets	Поступление и обработка пакетов	Различие оценивайте вместе с фильтрами и интервалом наблюдения.
lost_packets / loss_percentages	Потери	Устойчивый рост требует проверки зеркалирования, адаптера, CPU и очередей.
speed_current / speed_peak	Скорость	Помогают связать деградацию с пиковым потоком.
tcp_sessions_current / tcp_sessions_init_current	Текущие и полуоткрытые TCP-сессии	Сопоставляйте с tcpLimits и характером нагрузки.
resource_exceeding	Сессии без DPI из-за порогов	Рост означает снижение глубины анализа при продолжающемся учёте.
limit_exceeding	Сессии при превышении лицензии	Такие сессии не передаются в L1–L3; проверьте лицензионные ограничения.
send_count / send_size / send_time	Отправка профилем	Проверяйте динамику и время последней отправки.
send_error / send_fail	Ошибки транспорта и получателя	Разделяйте сетевую ошибку и отказ на принимающей стороне.

Счётчик

Смысл

Что проверять

received_packets / accepted_packets / processed_packets

Поступление и обработка пакетов

Различие оценивайте вместе с фильтрами и интервалом наблюдения.

lost_packets / loss_percentages

Потери

Устойчивый рост требует проверки зеркалирования, адаптера, CPU и очередей.

speed_current / speed_peak

Скорость

Помогают связать деградацию с пиковым потоком.

tcp_sessions_current / tcp_sessions_init_current

Текущие и полуоткрытые TCP-сессии

Сопоставляйте с tcpLimits и характером нагрузки.

resource_exceeding

Сессии без DPI из-за порогов

Рост означает снижение глубины анализа при продолжающемся учёте.

limit_exceeding

Сессии при превышении лицензии

Такие сессии не передаются в L1–L3; проверьте лицензионные ограничения.

send_count / send_size / send_time

Отправка профилем

Проверяйте динамику и время последней отправки.

send_error / send_fail

Ошибки транспорта и получателя

Разделяйте сетевую ошибку и отказ на принимающей стороне.

Счётчики профиля находятся в группе transport с именем профиля и протоколом; показатели интерфейсов — в группах if, суммарные — в [if-total]. Используйте ipc_counters с маской по интересующему имени. Для оповещений ориентируйтесь на изменения за интервал и устойчивое отклонение, а не только на ненулевое накопленное значение.

Чтение находок об угрозах

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Основные поля JSON-находки

Поле	Значение	Особенности
event_id, event_type, timestamp	Идентификатор, категория и время	Позволяют сопоставить локальную запись и событие у получателя.
observer	Источник наблюдения	Идентифицирует узел; состав зависит от типа находки.
source и destination	Участники	У агрегированной находки одно из направлений может не иметь конкретного адреса.
network и flow	Сеть и сессия	Содержат контекст, когда находка связана с определённой сессией.
threat	Описание находки	Детектор, подтип, измерение или совпавший индикатор — в зависимости от event_type.
mitre_attack	Разметка техники	Присутствует для поддерживающих разметку находок; не обязательно для каждого события.

Поле

Значение

Особенности

event_id, event_type, timestamp

Идентификатор, категория и время

Позволяют сопоставить локальную запись и событие у получателя.

observer

Источник наблюдения

Идентифицирует узел; состав зависит от типа находки.

source и destination

Участники

У агрегированной находки одно из направлений может не иметь конкретного адреса.

network и flow

Сеть и сессия

Содержат контекст, когда находка связана с определённой сессией.

threat

Описание находки

Детектор, подтип, измерение или совпавший индикатор — в зависимости от event_type.

mitre_attack

Разметка техники

Присутствует для поддерживающих разметку находок; не обязательно для каждого события.

Не требуйте одинакового набора полей у всех категорий. Например, агрегированное горизонтальное сканирование может не относиться к одной сессии, а IoC-совпадение не обязано содержать severity или разметку ATT&CK. Проверка схемы на стороне получателя должна учитывать эти различия.