Передача результатов on Alertix NTA

Профиль источник и маршрут

Mon, 01 Jan 0001 00:00:00 +0000

Служба sensor-transfer использует файл /opt/alertixnta/config/transfer.json. Профиль описывает получателя, протокол и формат. Само включение профиля не всегда создаёт поток: обычному событию нужно назначить профиль, а для канального источника — указать корректный channel_name и обеспечить появление данных в канале.

Таблица. Способы подачи данных в профиль

Способ	Настройка	Применение
Назначение из L3	event:transport_profile_add	Для обычных событий анализа. Можно назначить несколько получателей.
Профиль по умолчанию	default: true	Получает события, которым не назначен профиль. При нескольких default используется первый.
Подписка на канал	channel_name	Для сессий, протокольных каналов и находок. Правила форматирования зависят от транспорта.

Способ

Настройка

Применение

Назначение из L3

event:transport_profile_add

Для обычных событий анализа. Можно назначить несколько получателей.

Профиль по умолчанию

default: true

Получает события, которым не назначен профиль. При нескольких default используется первый.

Подписка на канал

channel_name

Для сессий, протокольных каналов и находок. Правила форматирования зависят от транспорта.

Таблица. Глобальные параметры transfer.json

Syslog и события CEF

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры профиля syslog

Параметр	Значения	Назначение и особенности
syslog_server	IP или FQDN; обязательно	Адрес коллектора.
syslog_port	Целое; 514	Порт приёмника.
syslog_tcp	true / false; false	TCP вместо UDP. По UDP сообщение длиннее 1472 байт усекается.
enable_ssl	true / false; false	TLS действует только при syslog_tcp: true.
keep_connection	false общее; true в поставляемых профилях	Удержание TCP-соединения.
octet_counting	true / false; false	Фрейминг RFC 6587 с длиной сообщения; только TCP. Должен поддерживаться получателем.
tcp_timeout	10; не влияет на syslog	После неуспеха соединение закрывается, следующее устанавливается заново; установка ограничена 3 секундами.
script_name	ethersensor_lua_cef.lua	Стандартное форматирование CEF для событий конвейера; скрипт расположен в scripts/tr-syslog/.

Параметр

Значения

Назначение и особенности

syslog_server

IP или FQDN; обязательно

Адрес коллектора.

syslog_port

Целое; 514

Порт приёмника.

syslog_tcp

true / false; false

TCP вместо UDP. По UDP сообщение длиннее 1472 байт усекается.

enable_ssl

true / false; false

TLS действует только при syslog_tcp: true.

keep_connection

false общее; true в поставляемых профилях

Удержание TCP-соединения.

octet_counting

true / false; false

Фрейминг RFC 6587 с длиной сообщения; только TCP. Должен поддерживаться получателем.

tcp_timeout

10; не влияет на syslog

После неуспеха соединение закрывается, следующее устанавливается заново; установка ограничена 3 секундами.

script_name

ethersensor_lua_cef.lua

Стандартное форматирование CEF для событий конвейера; скрипт расположен в scripts/tr-syslog/.

{
 "name": "siem_syslog_cef",
 "enabled": true,
 "default": false,
 "protocol": "syslog",
 "comment": "События анализа в SIEM",
 "syslog_server": "192.0.2.100",
 "syslog_port": 514,
 "syslog_tcp": true,
 "enable_ssl": false,
 "keep_connection": true,
 "octet_counting": false,
 "script_name": "ethersensor_lua_cef.lua"
}

Доставка находок об угрозах

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Каналы находок

channel_name	event_type	Назначение
threat:ti_match	ti_match	Совпадения с IoC; профиль syslog_threat_ioc_match присутствует в поставке выключенным.
threat:behavioral	behavioral	Поведенческие находки; профиль добавляется администратором.
threat:protocol_anomaly	protocol_anomaly	Протокольные аномалии; профиль добавляется администратором.

channel_name

event_type

Назначение

threat:ti_match

ti_match

Совпадения с IoC; профиль syslog_threat_ioc_match присутствует в поставке выключенным.

threat:behavioral

behavioral

Поведенческие находки; профиль добавляется администратором.

threat:protocol_anomaly

protocol_anomaly

Протокольные аномалии; профиль добавляется администратором.

Находки передаются отдельными однострочными JSON-объектами без заголовка Syslog. sensor-transfer формирует этот JSON самостоятельно; script_name к находкам не применяется. На стороне SIEM, в том числе Alertix, настройте приём именно этого формата. Подключение находок к обработчику обычного CEF без соответствующего разбора не обеспечит корректного заполнения полей.

Экспорт в Kafka

Mon, 01 Jan 0001 00:00:00 +0000

Профиль kafka использует channel_name и script_name совместно: первый выбирает источник, второй формирует JSON сообщения. Для TCP-, UDP- и IP-сессий используются каналы sessions:tcp, sessions:udp, sessions:ip и скрипты kafka_sessions_tcp.lua, kafka_sessions_udp.lua, kafka_sessions_ip.lua из scripts/tr-kafka/.

Таблица. Параметры kafka

Параметр	Значения	Назначение и особенности
kafka_bootstrap_servers	host:port,host:port	Список брокеров; обычный порт 9092.
kafka_topic	Строка	Целевой топик.
kafka_security_protocol	plaintext / ssl; plaintext	Без шифрования или TLS. Пустое значение приводит к предупреждению и plaintext.
kafka_ssl_ca_location	Путь PEM	Корневой сертификат для проверки брокера.
kafka_ssl_certificate_location	Путь PEM	Клиентский сертификат для взаимной аутентификации.
kafka_ssl_key_location	Путь PEM	Закрытый ключ клиента.
kafka_ssl_key_password	Строка	Пароль зашифрованного ключа.
kafka_enable_ssl_certificate_verification	true / false; true	Проверка сертификата брокера.
kafka_compression_codec	none / gzip / snappy / lz4 / zstd; none	Сжатие сообщения.
kafka_batch_num_messages	Целое; 10000	Максимальное число сообщений в пакете.
kafka_request_required_acks	Целое; 1	0 — без подтверждения, 1 — подтверждение лидера. Отрицательное значение не применяется.
kafka_log_level	0–7; 7	Уровень журналирования librdkafka.

Параметр

Значения

Назначение и особенности

kafka_bootstrap_servers

host:port,host:port

Список брокеров; обычный порт 9092.

kafka_topic

Строка

Целевой топик.

kafka_security_protocol

plaintext / ssl; plaintext

Без шифрования или TLS. Пустое значение приводит к предупреждению и plaintext.

kafka_ssl_ca_location

Путь PEM

Корневой сертификат для проверки брокера.

kafka_ssl_certificate_location

Путь PEM

Клиентский сертификат для взаимной аутентификации.

kafka_ssl_key_location

Путь PEM

Закрытый ключ клиента.

kafka_ssl_key_password

Строка

Пароль зашифрованного ключа.

kafka_enable_ssl_certificate_verification

true / false; true

Проверка сертификата брокера.

kafka_compression_codec

none / gzip / snappy / lz4 / zstd; none

Сжатие сообщения.

kafka_batch_num_messages

Целое; 10000

Максимальное число сообщений в пакете.

kafka_request_required_acks

Целое; 1

0 — без подтверждения, 1 — подтверждение лидера. Отрицательное значение не применяется.

kafka_log_level

0–7; 7

Уровень журналирования librdkafka.

Поддерживаются plaintext, TLS с проверкой брокера и TLS с клиентским сертификатом. Аутентификация SASL этим профилем не настраивается. Если брокер требует подтверждения клиента, используйте согласованный listener с взаимной TLS-аутентификацией.

Файловая доставка

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры filedrop и файлового сохранения

Параметр	Значения	Назначение и особенности
file_drop_path	Абсолютный путь	Каталог назначения.
file_drop_mask	%Y-%m-%d/%H	Маска подкаталогов, например по дню и часу.
save_format	json / eml / xml / attachments / syslog; json	Формат объекта. Пустое значение означает json; неподдерживаемое значение не следует использовать.
enable_tmp	true / false; false	Запись через временный файл с переименованием.
save_zip	true / false; false	Сжатие в ZIP.
zip_level	1–9; 6	Уровень сжатия; большее значение увеличивает вычислительную работу.
quota	Строка; 10Gb	Ограничение объёма. 0 — без предела; при превышении запись останавливается.
results_ttl	Дни ≥ 0; 0	Срок хранения; старые файлы удаляются. 0 — без ограничения срока.

Параметр

Значения

Назначение и особенности

file_drop_path

Абсолютный путь

Каталог назначения.

file_drop_mask

%Y-%m-%d/%H

Маска подкаталогов, например по дню и часу.

save_format

json / eml / xml / attachments / syslog; json

Формат объекта. Пустое значение означает json; неподдерживаемое значение не следует использовать.

enable_tmp

true / false; false

Запись через временный файл с переименованием.

save_zip

true / false; false

Сжатие в ZIP.

zip_level

1–9; 6

Уровень сжатия; большее значение увеличивает вычислительную работу.

quota

Строка; 10Gb

Ограничение объёма. 0 — без предела; при превышении запись останавливается.

results_ttl

Дни ≥ 0; 0

Срок хранения; старые файлы удаляются. 0 — без ограничения срока.

{
 "name": "local_archive",
 "enabled": true,
 "default": false,
 "protocol": "filedrop",
 "file_drop_path": "/opt/alertixnta/events/archive",
 "file_drop_mask": "%Y-%m-%d/%H",
 "save_format": "json",
 "enable_tmp": true,
 "save_zip": false,
 "quota": "50Gb",
 "results_ttl": 7
}

Экспорт NetFlow и IPFIX

Mon, 01 Jan 0001 00:00:00 +0000

NetFlow и IPFIX передают сведения о сессиях во внешний коллектор. Это направления экспорта результатов наблюдения, а не способы приёма пакетов. Для каждого из каналов sessions:tcp, sessions:udp и sessions:ip создаётся собственный профиль.

Таблица. Параметры NetFlow и IPFIX

Параметр	Значения	Назначение и особенности
netflow_server / ipfix_server	IP или FQDN	Адрес коллектора.
netflow_port	9996	Порт коллектора NetFlow.
ipfix_port	4739	Порт коллектора IPFIX.
netflow_tcp / ipfix_tcp	true / false; false	TCP вместо UDP.
netflow_ver	1 / 5 / 9; 9	Версия NetFlow; другое значение приводится к 9.
channel_name	sessions:tcp / udp / ip	Источник сессий.
script_name для IPFIX	ipfix_sessions_tcp.lua и аналоги	Сценарий из scripts/tr-ipfix/ формирует описание приложения.
ipfix_appname_length	Байты; 16	Значения больше 64 приводятся к 64; 65535 задаёт переменную длину.
ipfix_appdesc_length	Байты; 128	Значения больше 1300 приводятся к 1300; 65535 задаёт переменную длину.

Параметр

Значения

Назначение и особенности

netflow_server / ipfix_server

IP или FQDN

Адрес коллектора.

netflow_port

9996

Порт коллектора NetFlow.

ipfix_port

4739

Порт коллектора IPFIX.

netflow_tcp / ipfix_tcp

true / false; false

TCP вместо UDP.

netflow_ver

1 / 5 / 9; 9

Версия NetFlow; другое значение приводится к 9.

channel_name

sessions:tcp / udp / ip

Источник сессий.

script_name для IPFIX

ipfix_sessions_tcp.lua и аналоги

Сценарий из scripts/tr-ipfix/ формирует описание приложения.

ipfix_appname_length

Байты; 16

Значения больше 64 приводятся к 64; 65535 задаёт переменную длину.

ipfix_appdesc_length

Байты; 128

Значения больше 1300 приводятся к 1300; 65535 задаёт переменную длину.

IPFIX использует фиксированный набор из 19 информационных элементов, шаблоны IPv4 и IPv6 с идентификаторами 1024 и 2048 и пакеты до 1400 байт. Согласуйте шаблоны и транспорт с коллектором. Профили поставки выключены; перед включением замените адрес назначения и проверьте обработку завершённой сессии.

Балансировка и несколько получателей

Mon, 01 Jan 0001 00:00:00 +0000

Групповой профиль gprofile доставляет каждое событие одному участнику группы. Это удобно для распределения нагрузки и резерва. Чтобы одно событие попало одновременно в архив и SIEM, назначьте два обычных профиля — группа не является механизмом копирования каждому участнику.

Таблица. Параметры групповой доставки

Параметр	Значения	Назначение и особенности
protocol	gprofile	Тип группового профиля.
profiles	Массив имён	Участники группы; используются только включённые профили. Вложенная группа не допускается.
go_profile_weight участника	Целое ≥ 1; 1	Доля участника в цикле распределения.
go_profile_reserve участника	true / false; false	Резервный участник используется при недоступности всех основных.

Параметр

Значения

Назначение и особенности

protocol

gprofile

Тип группового профиля.

profiles

Массив имён

Участники группы; используются только включённые профили. Вложенная группа не допускается.

go_profile_weight участника

Целое ≥ 1; 1

Доля участника в цикле распределения.

go_profile_reserve участника

true / false; false

Резервный участник используется при недоступности всех основных.

Вес и резерв задаются в самих профилях участников. Группе назначают уникальное имя и включают её как обычный профиль. При ошибке отправки пробуется следующий участник; для проверки резерва используйте контролируемый сценарий недоступности и сверяйте журнал с фактическим получателем.

Контроль результата интеграции

Mon, 01 Jan 0001 00:00:00 +0000

Зафиксируйте источник, формат, транспорт, порт и ожидаемые поля контрольного события.
Проверьте появление исходного события или находки локально.
Убедитесь, что назначен нужный профиль либо выбран правильный канал.
Проверьте transfer.log и счётчики профиля.
На приёмнике найдите событие по времени, адресам и идентификатору источника; проверьте разбор полей, кодировку и полноту длинного сообщения.
Проверьте восстановление после короткого согласованного перерыва связи. Зафиксируйте наблюдаемые потери, повторы и время восстановления.

Проверку новых интеграций завершайте именно у потребителя. Отправленные байты и установленное TCP-соединение не доказывают, что SIEM или коллектор разобрал событие и сохранил нужные поля.