Компоненты и обмен данными

Таблица. Основные службы

СлужбаНазначениеРоль в обработке

sensor-ipc

Обмен между компонентами

Подготавливает IPC-модуль и общие ресурсы. Изменение ipc.json требует согласованного перезапуска всех служб.

sensor-ethercap

Захват с сетевых адаптеров

Восстанавливает сессии, выполняет протокольный разбор и встроенные проверки аномалий.

sensor-pcap

Чтение PCAP и pcapng

Использует записанные пакеты как источник для анализа.

sensor-icap

Приём от прокси

Принимает REQMOD и RESPMOD, передаёт HTTP-содержимое в обработку.

sensor-analyser

Анализ объектов и событий

Выполняет правила, фильтрацию, подготовку событий и назначение транспортных профилей.

sensor-identity

Обогащение и индикаторы

Разрешает имена, принимает данные аутентификации, обновляет источники IoC и сопоставляет значения.

sensor-transfer

Доставка

Отправляет результаты по транспортным профилям.

sensor-watcher

Журналирование

Читает IPC-каналы и записывает сообщения в журналы.

Схема обработки трафика и формирования результатов представлена на рисунке ниже.

pipeline 001

Службы захвата выполняют сборку сессий и первичный протокольный разбор. Анализатор получает подготовленные данные и выполняет основной конвейер L1–L3: предварительную обработку, детектирование и постобработку. Обработчики каналов L4 и таймеры L5 работают как отдельные механизмы, а не как обязательные последующие стадии каждого события.

Находки об угрозах могут возникать в разных компонентах. Встроенные детекторы анализируют сетевые сессии; Lua-правила — события протоколов; служба обогащения сопоставляет значения с индикаторами. Находки попадают в каналы threat:* и журнал threats.log. Их передача настраивается отдельно от доставки обычных событий.