Хранение и обслуживание on Alertix NTA

Квоты результатов

Mon, 01 Jan 0001 00:00:00 +0000

Файл /opt/alertixnta/config/quotas.json регулирует сохранение результатов в data/results/ по классам обработки. Единица — МиБ; 0 отключает сохранение класса, -1 снимает ограничение. Квота не является сроком хранения и не заменяет резерв свободного места файловой системы.

Таблица. Параметры quotas.json

Параметр	Значения	Назначение и особенности
enabled	true	Служебный признак. Управляйте сохранением значениями квот.
detectOk	1000 МиБ	Успешно распознанные объекты, detect/ok.
sendFail	10 МиБ	Результаты, не доставленные получателю, errors/send_fail.
preParseError	0	Ошибки предварительного разбора, errors/parse.
rawFiltered	0	Объекты, отброшенные фильтром пакетов, errors/raw_filter_drop.
rawFilterError	0	Ошибки предварительного фильтра, errors/raw_filter_error.
unknownObject	0	Неизвестные объекты, unknown.
detectUnknown	0	Объекты, не распознанные детекторами, detect/unknown.
detectError	0	Ошибки детектирования, errors/detect.
detectNoObjects	0	События без данных, detect/nodata.
detectFiltered	0	Предварительно отфильтрованные объекты, raw_filter_drop.
messageFilterError	0	Ошибки фильтра сообщений, errors/detect_filter.
sendError	0	Ошибки отправки, errors/send_error.
notProcessed и parseError	0; зарезервированы	Каталогов хранения не имеют; на сохранение не влияют.

Параметр

Значения

Назначение и особенности

enabled

true

Служебный признак. Управляйте сохранением значениями квот.

detectOk

1000 МиБ

Успешно распознанные объекты, detect/ok.

sendFail

10 МиБ

Результаты, не доставленные получателю, errors/send_fail.

preParseError

Ошибки предварительного разбора, errors/parse.

rawFiltered

Объекты, отброшенные фильтром пакетов, errors/raw_filter_drop.

rawFilterError

Ошибки предварительного фильтра, errors/raw_filter_error.

unknownObject

Неизвестные объекты, unknown.

detectUnknown

Объекты, не распознанные детекторами, detect/unknown.

detectError

Ошибки детектирования, errors/detect.

detectNoObjects

События без данных, detect/nodata.

detectFiltered

Предварительно отфильтрованные объекты, raw_filter_drop.

messageFilterError

Ошибки фильтра сообщений, errors/detect_filter.

sendError

Ошибки отправки, errors/send_error.

notProcessed и parseError

0; зарезервированы

Каталогов хранения не имеют; на сохранение не влияют.

Квоты читает analyser, а detectOk, sendError и sendFail также transfer. После изменения перезапустите соответствующие службы в согласованное окно. Сохранённые индексы detect.db3, error.db3, send.db3, sendfail.db3 и unknown.db3 относятся к результатам; не удаляйте их отдельно от данных в ходе обычной очистки.

Планирование дискового пространства

Mon, 01 Jan 0001 00:00:00 +0000

Рассчитывайте место раздельно для журналов, результатов, файловой доставки, исходных PCAP, обработанных PCAP и временных файлов ICAP. Для постоянного потока ориентир объёма — средняя скорость записи × время хранения. Измеряйте скорость фактической записи на узле: скорость сетевого интерфейса не равна скорости роста результатов.

sudo du -sh /opt/alertixnta/log \
 /opt/alertixnta/data/results \
 /opt/alertixnta/data/capdrop \
 /opt/alertixnta/events/filedrop \
 /opt/alertixnta/cache
df -h /opt/alertixnta
df -i /opt/alertixnta

При заполнении диска сначала определите растущий каталог и причину. Если включён сырой дамп или дополнительный журнал, остановите его штатной настройкой. Обработанные PCAP архивируйте по принятому сроку. Рабочие очереди и индексы не очищайте произвольным удалением. Перед освобождением места сохраните необходимые материалы расследования.

Ошибки и повторная доставка

Mon, 01 Jan 0001 00:00:00 +0000

Журнал transfer.log и квоты sendFail/sendError помогают разбирать неуспешную отправку объектов. Каталог data/retrans/send используется механизмом повторной доставки: он проверяется каждую секунду; после успешной отправки файл удаляется, после неуспеха переносится в fail или error. Этот механизм не является автоматическим архивом всего сетевого потока.

Для повторной отправки используйте только данные в формате, предусмотренном механизмом доставки и конкретным профилем. Не копируйте произвольные CEF-журналы или PCAP в retrans/send. Сначала восстановите получателя, затем обработайте небольшой контрольный набор, проверьте результат и возможные дубли. Объём сохранённых неудачных результатов ограничен квотами; записи, которые не были сохранены, восстановить через эту очередь нельзя.

Резервное копирование

Mon, 01 Jan 0001 00:00:00 +0000

Резервная копия должна позволять восстановить согласованную конфигурацию и собственные правила. Минимальный комплект включает config/, scripts/, используемые сертификаты и ключи, лицензию и сведения о версии пакета. Если необходимо сохранить результаты, архивы или PCAP, включите их в отдельный план: их объём и требования к согласованности отличаются от конфигурации.

Таблица. Состав копии

Объект	Содержимое	Порядок
Конфигурация и правила	config/ и scripts/	Сохранять вместе перед обновлением и значимым изменением.
Сертификаты и лицензия	certs/ и license.licx	Ограничить доступ; копия содержит закрытые ключи и привязанные к узлу данные.
Описание окружения	Версия ОС, ядра, пакета, интерфейсы	Нужно для воспроизведения и проверки совместимости.
Данные результатов и их индексы	data/results/ целиком при необходимости	Копировать согласованно при остановленных службах записи либо средствами согласованного снимка.
PCAP и файловые архивы	Настроенные каталоги	Хранить по отдельной политике, не смешивая с небольшой копией настроек.

Объект

Содержимое

Порядок

Конфигурация и правила

config/ и scripts/

Сохранять вместе перед обновлением и значимым изменением.

Сертификаты и лицензия

certs/ и license.licx

Ограничить доступ; копия содержит закрытые ключи и привязанные к узлу данные.

Описание окружения

Версия ОС, ядра, пакета, интерфейсы

Нужно для воспроизведения и проверки совместимости.

Данные результатов и их индексы

data/results/ целиком при необходимости

Копировать согласованно при остановленных службах записи либо средствами согласованного снимка.

PCAP и файловые архивы

Настроенные каталоги

Хранить по отдельной политике, не смешивая с небольшой копией настроек.

Ниже приведён пример копии конфигурации средствами Linux. Каталог /var/backups/alertix-nta должен находиться вне дерева программы; для защиты от отказа диска готовый архив дополнительно переносят на отдельное хранилище. Команды сохраняют config и scripts; сертификаты и лицензию добавляют только если соответствующие пути существуют.

Обновление

Mon, 01 Jan 0001 00:00:00 +0000

Сохраните действующий комплект и исходный установочный пакет; зафиксируйте версии ОС и ядра.
Изучите условия обновления полученного пакета и подготовьте окно обслуживания.
Остановите обработку, выполните обновление подходящим пакетным менеджером и проверьте результат установки.
Сравните рабочие файлы с шаблонами config/init/. Перенесите необходимые новые секции осознанно, сохраняя адреса, профили и правила.
Проверьте собственные Lua-файлы и изменения поставляемых файлов: последние могли быть заменены.
Запустите службы и повторите контроль захвата, анализа, IoC, находок и доставки, которые используются на этом узле.

Восстановление

Mon, 01 Jan 0001 00:00:00 +0000

Определите причину восстановления: ошибка конфигурации, неудачное обновление или замена узла. Выберите соответствующий комплект копии.
Остановите службы. Сохраните текущее состояние отдельно для диагностики.
Разверните совместимую версию пакета и сначала распакуйте архив в промежуточный каталог с ограниченным доступом.
Проверьте содержимое, права, адреса, интерфейсы и пути. Перенесите согласованную конфигурацию и собственные правила.
Проверьте лицензию для фактического узла, сертификаты, доступ к источникам и получателям.
Запустите систему и выполните контрольный сценарий. Только после подтверждения возвращайте штатную нагрузку.

Доступ к серверу и данным

Mon, 01 Jan 0001 00:00:00 +0000

Административный доступ организуется средствами Linux и SSH. Разделяйте повседневный просмотр журналов и право изменения конфигурации, предоставляйте sudo только уполномоченным сотрудникам. Рабочие каталоги, в которых служба создаёт файлы, должны быть доступны служебному пользователю; закрытые ключи и резервные копии — только необходимым учётным записям.

Периодически проверяйте открытые слушатели, сроки сертификатов, источники времени и права на конфигурацию. Ограничивайте ICAP и authFeeds адресами согласованных отправителей. Для исходящих соединений разрешайте только используемых получателей и источники обогащения. Диагностические архивы проверяйте на наличие токенов, ключей и содержимого перехваченных сообщений.