Каталог приёма и жизненный цикл файла

Служба sensor-pcap позволяет проверить правила на подготовленной записи и обработать трафик, полученный вне постоянной точки наблюдения. Она просматривает каталоги, перечисленные в pcapAdapters файла /opt/alertixnta/config/pcap.json, и передаёт результаты в общий конвейер анализа. Поддерживаются PCAP и pcapng.

Обработка файла PCAP и контроль результата представлены на рисенке ниже.

pcap 002

Просмотр не рекурсивный: файлы во вложенных каталогах не являются входными данными адаптера. После попытки обработки файл переносится в подкаталог processed. Это происходит и при ошибке открытия, поэтому наличие файла в processed само по себе не подтверждает успешный анализ. Файл с совпадающим именем в processed заменяется; используйте уникальные имена записей.

Таблица. Параметры pcapAdapters

ПараметрЗначенияНазначение и особенности

enabled

true в поставке; false при отсутствии

Разрешает обработку каталога; задавайте явно.

id

Уникальная строка

Идентификатор источника в журнале и статистике.

description и comment

Строки

Назначение источника и пояснение для администратора.

capdrop

Абсолютный путь; обязателен

Каталог входящих файлов. Службе нужны права чтения и перемещения.

use_current_time

true / false; false

false сохраняет временную шкалу записи. true заменяет метки текущим временем.

filter.enabled

true / false; false

Разрешает BPF-фильтр адаптера.

filter.data

BPF-выражение

Отбор пакетов из входной записи.

{
  "enabled": true,
  "id": "capdrop_test",
  "description": "Контрольные записи",
  "comment": "Проверка обработки перед изменением правил",
  "capdrop": "/opt/alertixnta/data/capdrop-test",
  "use_current_time": false,
  "filter": { "enabled": false, "data": "" }
}

Создайте каталог с правами служебного пользователя, добавьте элемент в pcapAdapters и перечитайте конфигурацию. Для воспроизводимой проверки порогов и временных окон оставляйте use_current_time: false. При анализе старой записи ищите событие по времени пакетов, а не только по времени загрузки файла.

sudo install -d -o ethersensor -g ethersensor -m 750 \
  /opt/alertixnta/data/capdrop-test
sudo systemctl reload sensor-pcap.service
sudo tail -n 80 /opt/alertixnta/log/pcap.log