Доставка находок об угрозах

Таблица. Каналы находок

channel_nameevent_typeНазначение

threat:ti_match

ti_match

Совпадения с IoC; профиль syslog_threat_ioc_match присутствует в поставке выключенным.

threat:behavioral

behavioral

Поведенческие находки; профиль добавляется администратором.

threat:protocol_anomaly

protocol_anomaly

Протокольные аномалии; профиль добавляется администратором.

Находки передаются отдельными однострочными JSON-объектами без заголовка Syslog. sensor-transfer формирует этот JSON самостоятельно; script_name к находкам не применяется. На стороне SIEM, в том числе Alertix, настройте приём именно этого формата. Подключение находок к обработчику обычного CEF без соответствующего разбора не обеспечит корректного заполнения полей.

{
  "name": "syslog_threat_behavioral",
  "enabled": true,
  "default": false,
  "protocol": "syslog",
  "channel_name": "threat:behavioral",
  "syslog_server": "192.0.2.100",
  "syslog_port": 5514,
  "syslog_tcp": true,
  "enable_ssl": false,
  "keep_connection": true,
  "octet_counting": false
}

Пример направляет behavioral на отдельный TCP-порт JSON-приёмника. Для двух других каналов создайте отдельные профили с уникальными именами и соответствующим channel_name. Раздельные порты CEF и JSON упрощают проверку и настройку разбора, но конкретную схему определяет принимающая система.

Важно. Доставка читает только подканалы, объявленные в ipc.json. Во встроенной конфигурации threat объявлен ti_match; behavioral и protocol_anomaly нужно добавить вручную. Их запись в локальный threats.log возможна и без такого объявления, поэтому наличие находки в файле ещё не доказывает готовность внешней доставки.

"threat": {
  "buffer": { "size": 16, "count": 128 },
  "subchannels": {
    "ti_match": 1,
    "behavioral": 1,
    "protocol_anomaly": 1
  }
}

Фрагмент находится внутри channels файла ipc.json. Сохраните существующие настройки буфера и другие подканалы, если они уже изменены; пример показывает стандартный размер. Проверьте JSON и выполните restart sensor.target в окне обслуживания. После запуска проверьте каналы, загрузку профилей и появление контрольной находки у получателя.