Источники и результаты обработки

Alertix NTA получает копию пакетов с порта зеркалирования SPAN или сетевого ответвителя TAP, читает файлы PCAP и pcapng, а также принимает HTTP-запросы и ответы от прокси по ICAP. Источники могут использоваться совместно. При этом важно исключить непреднамеренное дублирование одного потока из нескольких точек наблюдения.

При пассивном подключении к SPAN или TAP система анализирует копию трафика и не изменяет исходный обмен между узлами. Полнота результата зависит от качества копирования: одностороннее зеркало, перегрузка порта или потерянные пакеты ограничивают восстановление сессий. ICAP включается в отдельную цепочку взаимодействия с прокси; доступность этой цепочки и политика ошибок на прокси влияют на обработку HTTP-трафика.

Таблица. Виды результатов

РезультатПримерыПрактическое применение

Сетевая сессия

TCP, UDP, другие IP-протоколы

Адреса, порты, время, объёмы и распознанный протокол. Используется для анализа связей и экспорта потоков.

Протокольное событие

DNS, HTTP, TLS, LDAP, SMB и другие

Содержит извлечённые поля конкретного протокола. Набор полей зависит от доступных данных и включённых обработчиков.

Объект

Файл, сообщение, вложение

Собирается из доступного содержимого с учётом ограничений размера; может передаваться во внешнюю систему или сохраняться.

Находка об угрозе

IoC, поведенческая или протокольная аномалия

Содержит сведения о детекторе и наблюдаемом условии. Требует анализа в контексте сети.

Служебные данные

Журналы и статистика

Помогают контролировать работоспособность и находить узкое место.

Шифрование определяет доступную глубину анализа. В пассивном TLS-трафике доступны наблюдаемые параметры соединения и рукопожатия; наличие TLS-сессии не означает доступности HTTP-тела или файлов. Если прокси расшифровывает HTTPS и передаёт HTTP-содержимое по ICAP, система анализирует полученное открытое содержимое. Проверки сертификатов пассивного TLS зависят от того, передаётся ли сертификат в открытой части рукопожатия.