Назначение журналов

Таблица. Основные файлы в /opt/alertixnta/log

ФайлИсточникСодержимое

ethcap.log

sensor-ethercap

Адаптеры, режим захвата, загрузка парсеров и ошибки захвата.

pcap.log

sensor-pcap

Обнаружение каталогов, открытие и перемещение PCAP.

icap.log

sensor-icap

Клиентские соединения, протокол, ограничения и ошибки.

analyser.log

sensor-analyser

Лицензия, правила, обработка и ошибки анализа.

identity.log

sensor-identity

Обогащение, входные источники и загрузка индикаторов.

transfer.log

sensor-transfer

Инициализация профилей, отправка и ошибки получателей.

watcher.log

sensor-watcher

Маршрутизация и запись журналов.

errors.log

Сводный журнал

Ошибки и предупреждения из выбранных каналов.

threats.log

Находки

JSON-события ti_match, behavioral и protocol_anomaly.

cef-*.log

Протокольные события

CEF-записи; часть файлов объединяет несколько каналов.

!stat-*.log

Статистика

Данные статистики при соответствующей настройке записи.

Журнал systemd полезен при проблемах запуска, зависимостях и аварийном завершении. Журналы в log/ содержат предметные сообщения компонентов. Если служба не успела подключиться к IPC или sensor-watcher не работает, отсутствие нового файла в log/ не означает отсутствие ошибок — начните с journalctl.

sudo journalctl -u sensor-ethercap.service \
  --since '30 minutes ago' --no-pager
sudo tail -F /opt/alertixnta/log/ethcap.log

tail -F продолжает наблюдение при замене файла в процессе ротации. Для выхода нажмите Ctrl+C. При расследовании сначала сохраните относящийся к инциденту интервал журналов, затем вносите изменения: повторный запуск может изменить картину состояния.