Обработка файлов PCAP on Alertix NTA

Каталог приёма и жизненный цикл файла

Mon, 01 Jan 0001 00:00:00 +0000

Служба sensor-pcap позволяет проверить правила на подготовленной записи и обработать трафик, полученный вне постоянной точки наблюдения. Она просматривает каталоги, перечисленные в pcapAdapters файла /opt/alertixnta/config/pcap.json, и передаёт результаты в общий конвейер анализа. Поддерживаются PCAP и pcapng.

Обработка файла PCAP и контроль результата представлены на рисенке ниже.

Просмотр не рекурсивный: файлы во вложенных каталогах не являются входными данными адаптера. После попытки обработки файл переносится в подкаталог processed. Это происходит и при ошибке открытия, поэтому наличие файла в processed само по себе не подтверждает успешный анализ. Файл с совпадающим именем в processed заменяется; используйте уникальные имена записей.

Подача контрольной записи

Mon, 01 Jan 0001 00:00:00 +0000

Не копируйте большой файл непосредственно в наблюдаемый каталог: служба может открыть его до завершения записи. Сначала поместите файл в промежуточный каталог на той же файловой системе, затем переместите его в capdrop. Переименование на одной файловой системе делает готовый файл видимым целиком.

sudo install -d -o alertixnta -g alertixnta -m 750 \
 /opt/alertixnta/data/pcap-staging
sudo install -o alertixnta -g alertixnta -m 640 \
 /tmp/check-20261002-001.pcap \
 /opt/alertixnta/data/pcap-staging/check-20261002-001.pcap
sudo mv /opt/alertixnta/data/pcap-staging/check-20261002-001.pcap \
 /opt/alertixnta/data/capdrop-test/
sudo tail -n 80 /opt/alertixnta/log/pcap.log

Особенности конфигурации PCAP

Mon, 01 Jan 0001 00:00:00 +0000

Параметры ipSessions, tcpSessions, udpSessions, ip4Fragments, ip6Fragments, ndpiEngine, nativeParsers и luaParsers имеют тот же смысл, что у сетевого захвата. В pcap.json не применяются flowCount, flowBuffCount, flowBuffSize, captureMode и controlIf. Флаг записи по правилам называется controlSection.trafficRecording; его нельзя подменять именем trafficRecordSessions из ethercap.json.

Пороговые значения tcpLimits.init, soft и hard совпадают с параметрами сетевого захвата, но делятся между адаптерами pcapAdapters. Их изменение применяется только после restart sensor-pcap. Большинство остальных параметров поддерживает reload. Для нативных парсеров отсутствие записи также означает включённую обработку.