Описание системы on Alertix NTA

Источники и результаты обработки

Mon, 01 Jan 0001 00:00:00 +0000

Alertix NTA получает копию пакетов с порта зеркалирования SPAN или сетевого ответвителя TAP, читает файлы PCAP и pcapng, а также принимает HTTP-запросы и ответы от прокси по ICAP. Источники могут использоваться совместно. При этом важно исключить непреднамеренное дублирование одного потока из нескольких точек наблюдения.

При пассивном подключении к SPAN или TAP система анализирует копию трафика и не изменяет исходный обмен между узлами. Полнота результата зависит от качества копирования: одностороннее зеркало, перегрузка порта или потерянные пакеты ограничивают восстановление сессий. ICAP включается в отдельную цепочку взаимодействия с прокси; доступность этой цепочки и политика ошибок на прокси влияют на обработку HTTP-трафика.

Компоненты и обмен данными

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Основные службы

Служба	Назначение	Роль в обработке
sensor-ipc	Обмен между компонентами	Подготавливает IPC-модуль и общие ресурсы. Изменение ipc.json требует согласованного перезапуска всех служб.
sensor-ethercap	Захват с сетевых адаптеров	Восстанавливает сессии, выполняет протокольный разбор и встроенные проверки аномалий.
sensor-pcap	Чтение PCAP и pcapng	Использует записанные пакеты как источник для анализа.
sensor-icap	Приём от прокси	Принимает REQMOD и RESPMOD, передаёт HTTP-содержимое в обработку.
sensor-analyser	Анализ объектов и событий	Выполняет правила, фильтрацию, подготовку событий и назначение транспортных профилей.
sensor-identity	Обогащение и индикаторы	Разрешает имена, принимает данные аутентификации, обновляет источники IoC и сопоставляет значения.
sensor-transfer	Доставка	Отправляет результаты по транспортным профилям.
sensor-watcher	Журналирование	Читает IPC-каналы и записывает сообщения в журналы.

Служба

Назначение

Роль в обработке

sensor-ipc

Обмен между компонентами

Подготавливает IPC-модуль и общие ресурсы. Изменение ipc.json требует согласованного перезапуска всех служб.

sensor-ethercap

Захват с сетевых адаптеров

Восстанавливает сессии, выполняет протокольный разбор и встроенные проверки аномалий.

sensor-pcap

Чтение PCAP и pcapng

Использует записанные пакеты как источник для анализа.

sensor-icap

Приём от прокси

Принимает REQMOD и RESPMOD, передаёт HTTP-содержимое в обработку.

sensor-analyser

Анализ объектов и событий

Выполняет правила, фильтрацию, подготовку событий и назначение транспортных профилей.

sensor-identity

Обогащение и индикаторы

Разрешает имена, принимает данные аутентификации, обновляет источники IoC и сопоставляет значения.

sensor-transfer

Доставка

Отправляет результаты по транспортным профилям.

sensor-watcher

Журналирование

Читает IPC-каналы и записывает сообщения в журналы.

Схема обработки трафика и формирования результатов представлена на рисунке ниже.

Расположение файлов

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Рабочие каталоги

Путь	Содержимое	Особенности
/opt/alertixnta/config/	Конфигурация JSON и фильтры	Основная точка настройки. Перед изменением сохраняйте копию.
/opt/alertixnta/config/init/	Шаблоны поставки	Используются для сравнения после обновления. Копирование поверх рабочего файла заменяет его настройки.
/opt/alertixnta/config/backup/	Копии конфигураций	Содержит копии, создаваемые компонентами при отдельных операциях; не заменяет плановое резервное копирование.
/opt/alertixnta/scripts/	Lua-правила и обработчики	Подкаталоги соответствуют точкам подключения.
/opt/alertixnta/log/	Журналы	Служебные сообщения, CEF-события, находки об угрозах.
/opt/alertixnta/data/capdrop/	Приём PCAP	Типовой каталог, назначаемый адаптеру pcapAdapters.
/opt/alertixnta/data/results/	Сохранённые результаты	Объём регулируется quotas.json; здесь же находятся индексы результатов.
/opt/alertixnta/data/retrans/	Повторная доставка	Очередь ручной повторной отправки файлов, предназначенных для этого механизма.
/opt/alertixnta/cache/identity/	Кэш обогащения и IoC	Данные источников и таблицы индикаторов.
/opt/alertixnta/events/filedrop/	Файловая доставка	Назначение профилей filedrop может быть изменено.
/opt/alertixnta/license.licx	Лицензия	Файл лицензии узла.

Путь

Содержимое

Особенности

/opt/alertixnta/config/

Конфигурация JSON и фильтры

Основная точка настройки. Перед изменением сохраняйте копию.

/opt/alertixnta/config/init/

Шаблоны поставки

Используются для сравнения после обновления. Копирование поверх рабочего файла заменяет его настройки.

/opt/alertixnta/config/backup/

Копии конфигураций

Содержит копии, создаваемые компонентами при отдельных операциях; не заменяет плановое резервное копирование.

/opt/alertixnta/scripts/

Lua-правила и обработчики

Подкаталоги соответствуют точкам подключения.

/opt/alertixnta/log/

Журналы

Служебные сообщения, CEF-события, находки об угрозах.

/opt/alertixnta/data/capdrop/

Приём PCAP

Типовой каталог, назначаемый адаптеру pcapAdapters.

/opt/alertixnta/data/results/

Сохранённые результаты

Объём регулируется quotas.json; здесь же находятся индексы результатов.

/opt/alertixnta/data/retrans/

Повторная доставка

Очередь ручной повторной отправки файлов, предназначенных для этого механизма.

/opt/alertixnta/cache/identity/

Кэш обогащения и IoC

Данные источников и таблицы индикаторов.

/opt/alertixnta/events/filedrop/

Файловая доставка

Назначение профилей filedrop может быть изменено.

/opt/alertixnta/license.licx

Лицензия

Файл лицензии узла.

IPC-обмен использует оперативную память. Диск занят журналами, сохранёнными результатами, временными данными, файловой доставкой и записями трафика. Эти категории имеют разные ограничения; наличие свободного места в одном каталоге не гарантирует, что другой не достиг своей квоты.