Выявление аномалий и угроз on Alertix NTA

Механизмы обнаружения

Mon, 01 Jan 0001 00:00:00 +0000

Файл /opt/alertixnta/config/anomaly.json задаёт пороги и исключения нескольких механизмов. Сетевые детекторы читают его в sensor-ethercap и sensor-pcap; проверки удалённого доступа — в sensor-identity; протокольные Lua-детекторы L2 — в sensor-analyser. Поэтому изменение одного файла может потребовать перечитывания нескольких служб.

Компоненты обнаружения и каналы находок представлены на рисунке ниже.

Находка описывает наблюдаемое условие: например, необычное число портов, нарушение TLS-политики или совпадение с индикатором. Администратор обеспечивает качество исходных данных и настройки, а аналитик оценивает находку с учётом назначения узлов. Плановые сканеры, резервное копирование и средства управления особенно важно учесть при вводе детекторов в эксплуатацию.

Сканирование сети

Mon, 01 Jan 0001 00:00:00 +0000

Вертикальное сканирование рассматривает активность между парой адресов, горизонтальное — множество адресов назначения одного источника. Порог числа портов и временное окно нужно подбирать вместе: большой интервал учитывает более медленную разведку, но также объединяет больше штатной активности.

Таблица. Параметры anomaly.scan

Параметр	Значения	Назначение и особенности
vertical_threshold	Сессии; 50	Число одновременных сессий пары адресов, выше которого возникает vertical или udp_vertical.
unique_dst_ports_threshold	Порты; 30	Число уникальных портов назначения пары за эпизод.
ip_protocol_threshold	Номера IP-протоколов; 30 при отсутствии	Порог разнообразия IP-протоколов пары; значимы значения до 255.
horizontal_threshold	Адреса; 100	Число адресов назначения одного источника за horizontal_window_sec.
block_threshold	Адреса; 30	Порог блочного сканирования при наличии вертикального сканирования источника.
horizontal_window_sec	Секунды; 10	Скользящее окно подсчёта адресов для horizontal и block.
window_sec	Секунды; 60	Пауза, после которой эпизод перебора портов или протоколов завершается.

Параметр

Значения

Назначение и особенности

vertical_threshold

Сессии; 50

Число одновременных сессий пары адресов, выше которого возникает vertical или udp_vertical.

unique_dst_ports_threshold

Порты; 30

Число уникальных портов назначения пары за эпизод.

ip_protocol_threshold

Номера IP-протоколов; 30 при отсутствии

Порог разнообразия IP-протоколов пары; значимы значения до 255.

horizontal_threshold

Адреса; 100

Число адресов назначения одного источника за horizontal_window_sec.

block_threshold

Адреса; 30

Порог блочного сканирования при наличии вертикального сканирования источника.

horizontal_window_sec

Секунды; 10

Скользящее окно подсчёта адресов для horizontal и block.

window_sec

Секунды; 60

Пауза, после которой эпизод перебора портов или протоколов завершается.

Числовые пороги сравниваются по правилу «больше»: значение, равное порогу, не является превышением. Исключение — отдельно описанный порог TCP stealth_scan_port_threshold, который срабатывает при достижении. Целочисленные пороги секций допускают неотрицательные 32-битные значения, если для поля не указано иное. Ноль обычно означает нулевой порог, а не отключение проверки; для отключения используйте предусмотренный флаг.

Флуд усиление и медленные соединения

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры anomaly.flood

Параметр	Значения	Назначение и особенности
syn_flood_per_pair_threshold	Сессии; 200	Порог полуоткрытых TCP-сессий пары адресов.
syn_flood_distributed_threshold	Адреса; 500	Число уникальных источников SYN-флуда к одному назначению по всем потокам.
udp_flood_session_rate_threshold	Новых сессий/с; 5000	Порог к одному адресу в пределах потока. Пакеты внутри одной сессии этот счётчик не увеличивают.
icmp_flood_session_rate_threshold	Новых сессий/с; 1000	Аналогичная проверка ICMP и других протоколов, кроме TCP и UDP.
udp_flood_distributed_threshold	Новых сессий/с; 50000	Суммарный порог UDP к назначению по всем потокам.
icmp_flood_distributed_threshold	Новых сессий/с; 10000	Суммарный порог ICMP по всем потокам.
cusum_h	Целое; 30	Порог накопленного превышения темпа новых сессий.
cusum_k	Целое; 5	Дрейф, вычитаемый за секунду; влияет на устойчивость к фоновому шуму.
amplification_ratio_threshold	Кратность; 20	Отношение объёма ответа к запросу UDP-сессии.
amplification_min_request	Байты; 100	Несмотря на имя, верхняя граница запроса: запрос не меньше этого размера усилением не считается.
amplification_min_response_bytes	Байты; 1024	Минимальный размер ответа для проверки усиления.
slowloris_min_concurrent_sessions	Сессии; 50	Порог медленных сессий пары, в которых сервер ещё не передал данные.
slowloris_min_idle_seconds	Секунды; 30	Пауза клиента, после которой сессия с молчащим сервером считается медленной.

Параметр

Значения

Назначение и особенности

syn_flood_per_pair_threshold

Сессии; 200

Порог полуоткрытых TCP-сессий пары адресов.

syn_flood_distributed_threshold

Адреса; 500

Число уникальных источников SYN-флуда к одному назначению по всем потокам.

udp_flood_session_rate_threshold

Новых сессий/с; 5000

Порог к одному адресу в пределах потока. Пакеты внутри одной сессии этот счётчик не увеличивают.

icmp_flood_session_rate_threshold

Новых сессий/с; 1000

Аналогичная проверка ICMP и других протоколов, кроме TCP и UDP.

udp_flood_distributed_threshold

Новых сессий/с; 50000

Суммарный порог UDP к назначению по всем потокам.

icmp_flood_distributed_threshold

Новых сессий/с; 10000

Суммарный порог ICMP по всем потокам.

cusum_h

Целое; 30

Порог накопленного превышения темпа новых сессий.

cusum_k

Целое; 5

Дрейф, вычитаемый за секунду; влияет на устойчивость к фоновому шуму.

amplification_ratio_threshold

Кратность; 20

Отношение объёма ответа к запросу UDP-сессии.

amplification_min_request

Байты; 100

Несмотря на имя, верхняя граница запроса: запрос не меньше этого размера усилением не считается.

amplification_min_response_bytes

Байты; 1024

Минимальный размер ответа для проверки усиления.

slowloris_min_concurrent_sessions

Сессии; 50

Порог медленных сессий пары, в которых сервер ещё не передал данные.

slowloris_min_idle_seconds

Секунды; 30

Пауза клиента, после которой сессия с молчащим сервером считается медленной.

Для UDP и ICMP здесь оценивается темп новых сессий, а не просто packets per second. Это важно при проверке: большой поток пакетов с неизменной парой адресов и портов может не набрать соответствующий порог. Для оценки нагрузки одновременно смотрите скорость, число новых сессий и потери пакетов.

Фрагментация и аномалии IP и TCP

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры anomaly.fragmentation

Параметр	Значения	Назначение и особенности
detect_overlap	true / false; true	Перекрытие фрагментов: конфликтующие или повторяющиеся байты IPv4 и любое перекрытие IPv6.
detect_tiny_first	true / false; true	Проверяет короткий первый фрагмент.
tiny_first_min_size	Байты; 32	Минимальная длина первого фрагмента.
detect_oversized	true / false; true	Проверяет превышение предела сборки.
oversized_limit_bytes	Байты; 65535	Предельный размер собираемого IP-пакета.
detect_too_many	true / false; true	Проверяет число фрагментов.
max_fragments	Целое; 64	Допустимое число фрагментов; значения выше 128 не действуют из-за ёмкости сборки.
detect_atomic_as_frag	true / false; true	Проверяет атомарный IPv6-фрагмент в потоке фрагментов с тем же идентификатором.

Параметр

Значения

Назначение и особенности

detect_overlap

true / false; true

Перекрытие фрагментов: конфликтующие или повторяющиеся байты IPv4 и любое перекрытие IPv6.

detect_tiny_first

true / false; true

Проверяет короткий первый фрагмент.

tiny_first_min_size

Байты; 32

Минимальная длина первого фрагмента.

detect_oversized

true / false; true

Проверяет превышение предела сборки.

oversized_limit_bytes

Байты; 65535

Предельный размер собираемого IP-пакета.

detect_too_many

true / false; true

Проверяет число фрагментов.

max_fragments

Целое; 64

Допустимое число фрагментов; значения выше 128 не действуют из-за ёмкости сборки.

detect_atomic_as_frag

true / false; true

Проверяет атомарный IPv6-фрагмент в потоке фрагментов с тем же идентификатором.

Проверки фрагментации выполняются при сборке пакетов. Для IPv6 учитывайте, включена ли ip6Fragments в службе источника. Если фрагменты не поступили в сборку или отфильтрованы раньше, настройка порога сама по себе не обеспечит обнаружение.

ARP и доверенные адреса

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры anomaly.arp

Параметр	Значения	Назначение и особенности
detect_mac_multi_ip	true / false; true	Один MAC заявляет несколько IP сверх порога.
mac_multi_ip_threshold	Адреса; 5	Порог IP на один MAC.
detect_ip_mac_change	true / false; true	Смена MAC для IP внутри заданного окна.
ip_mac_change_idle_sec	Секунды; 60	Интервал, в котором смена считается подозрительной.
detect_arp_sweep	true / false; true при отсутствии	ARP-обход множества адресов.
arp_sweep_threshold	Адреса; 25 при отсутствии	Порог адресов за эпизод.
entry_idle_sec	Секунды; 1800	Срок хранения соответствия MAC и IP без обновления.
whitelist_macs	Массив полных MAC; []	Исключения для виртуальных шлюзов и proxy ARP. Маски и шаблоны не заменяют полный адрес.
whitelist_ips	Массив IPv4 без маски; []	Исключаемые адреса отправителей ARP.

Параметр

Значения

Назначение и особенности

detect_mac_multi_ip

true / false; true

Один MAC заявляет несколько IP сверх порога.

mac_multi_ip_threshold

Адреса; 5

Порог IP на один MAC.

detect_ip_mac_change

true / false; true

Смена MAC для IP внутри заданного окна.

ip_mac_change_idle_sec

Секунды; 60

Интервал, в котором смена считается подозрительной.

detect_arp_sweep

true / false; true при отсутствии

ARP-обход множества адресов.

arp_sweep_threshold

Адреса; 25 при отсутствии

Порог адресов за эпизод.

entry_idle_sec

Секунды; 1800

Срок хранения соответствия MAC и IP без обновления.

whitelist_macs

Массив полных MAC; []

Исключения для виртуальных шлюзов и proxy ARP. Маски и шаблоны не заменяют полный адрес.

whitelist_ips

Массив IPv4 без маски; []

Исключаемые адреса отправителей ARP.

Перед включением контроля ARP зафиксируйте виртуальные адреса кластеров и шлюзов. Один MAC, обслуживающий несколько IP, может быть штатным для выбранной топологии. Исключайте конкретные известные узлы, сохраняя возможность увидеть изменения остальных соответствий. Изменение списков ARP в sensor-pcap вызывает краткую управляемую паузу обработки файлов.

Проверка удалённого доступа по IoC

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры anomaly.rat_ioc

Параметр	Значения	Назначение и особенности
protocols	Массив; rdp, vnc, ssh, teamviewer, anydesk в поставке	Перечень протоколов. Пустой список отключает проверку; встроенное распознавание не присваивает идентификатор anydesk.
direction	any / inbound / outbound; any	inbound проверяет адрес клиента; outbound — сервера; any — сначала сервера, затем клиента.
whitelist_remote_admin_subnets	Массив CIDR; []	Если любой участник входит в список, сессия не проверяется.

Параметр

Значения

Назначение и особенности

protocols

Массив; rdp, vnc, ssh, teamviewer, anydesk в поставке

Перечень протоколов. Пустой список отключает проверку; встроенное распознавание не присваивает идентификатор anydesk.

direction

any / inbound / outbound; any

inbound проверяет адрес клиента; outbound — сервера; any — сначала сервера, затем клиента.

whitelist_remote_admin_subnets

Массив CIDR; []

Если любой участник входит в список, сессия не проверяется.

Проверка выполняется службой sensor-identity при закрытии TCP- или UDP-сессии. Для неё нужны anomaly.enabled: true, непустой список протоколов и загруженные IP-индикаторы. Находка rat-to-ioc относится к behavioral. Названия inbound и outbound определяют сторону сессии; они сами по себе не описывают периметр организации.

TLS и перемещение внутри сети

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры anomaly.tls

Параметр	Значения	Назначение и особенности
enabled	true / false; true	Включает проверки подключённого l2-tls-anomaly.lua независимо от anomaly.enabled.
check_outdated_version	true / false; true	Проверяет версию по outdated_versions.
outdated_versions	SSLv2, SSLv3, TLSv1.0, TLSv1.1	При отсутствии список пуст и соответствующая проверка не выявляет версии.
check_weak_cipher	true / false; true	Проверяет выбранный сервером набор шифров.
weak_cipher_substrings	RC4, DES, NULL, MD5, EXPORT	Список подстрок; при отсутствии пуст.
check_self_signed	true / false; true	Совпадение издателя и субъекта сертификата.
check_expired	true / false; true	Истёкший или ещё не наступивший срок действия.
check_sni_mismatch	true / false; true	Несовпадение SNI с именами сертификата.
check_incomplete_handshake	true / false; true	Незавершённое рукопожатие или отсутствие прикладных данных после него.
check_fatal_alerts	true / false; true	Фатальное сообщение Alert от сервера.
internal_subnets_excluded_from_self_signed	Массив CIDR; []	Серверы, для которых допустим самоподписанный сертификат.

Параметр

Значения

Назначение и особенности

enabled

true / false; true

Включает проверки подключённого l2-tls-anomaly.lua независимо от anomaly.enabled.

check_outdated_version

true / false; true

Проверяет версию по outdated_versions.

outdated_versions

SSLv2, SSLv3, TLSv1.0, TLSv1.1

При отсутствии список пуст и соответствующая проверка не выявляет версии.

check_weak_cipher

true / false; true

Проверяет выбранный сервером набор шифров.

weak_cipher_substrings

RC4, DES, NULL, MD5, EXPORT

Список подстрок; при отсутствии пуст.

check_self_signed

true / false; true

Совпадение издателя и субъекта сертификата.

check_expired

true / false; true

Истёкший или ещё не наступивший срок действия.

check_sni_mismatch

true / false; true

Несовпадение SNI с именами сертификата.

check_incomplete_handshake

true / false; true

Незавершённое рукопожатие или отсутствие прикладных данных после него.

check_fatal_alerts

true / false; true

Фатальное сообщение Alert от сервера.

internal_subnets_excluded_from_self_signed

Массив CIDR; []

Серверы, для которых допустим самоподписанный сертификат.

Проверки сертификата применимы к открыто переданным сертификатам SSL 3.0 — TLS 1.2. В TLS 1.3 сертификат находится в зашифрованной части рукопожатия. Не трактуйте отсутствие такой находки как подтверждение корректности сертификата, если его данные не наблюдались.

Порядок подключения детекторов L2

Mon, 01 Jan 0001 00:00:00 +0000

Некоторые протокольные детекторы завершают обработку события на L2. Детектор угроз должен успеть получить событие раньше. Встроенные детекторы имеют постоянные номера, поэтому простого размещения строки непосредственно перед именем протокольного правила недостаточно.

Таблица. Позиции правил в workFlow.detect

Правило	Условие при счёте с нуля	Действие
l2-ldap-recon.lua	Позиция меньше 4	Перенесите в начало массива; требуется заполненный whitelist_admin_hosts.
l2-smb-lateral.lua	Позиция меньше 7	Перенесите в начало массива; требуется заполненный whitelist_admin_hosts.
l2-tls-anomaly.lua	Позиция меньше 8	Добавьте включённую запись, если отсутствует; файл должен находиться в an-detect.
l2-dcerpc-lateral.lua	Нет такого ограничения по завершающему детектору	Заполните списки и включите запись.

Правило

Условие при счёте с нуля

Действие

l2-ldap-recon.lua

Позиция меньше 4

Перенесите в начало массива; требуется заполненный whitelist_admin_hosts.

l2-smb-lateral.lua

Позиция меньше 7

Перенесите в начало массива; требуется заполненный whitelist_admin_hosts.

l2-tls-anomaly.lua

Позиция меньше 8

Добавьте включённую запись, если отсутствует; файл должен находиться в an-detect.

l2-dcerpc-lateral.lua

Нет такого ограничения по завершающему детектору

Заполните списки и включите запись.

Для совместного подключения перечисленных проверок удобно использовать первые позиции: LDAP — 0, SMB — 1, TLS — 2, DCE/RPC — 3. Сохраните остальные элементы массива и существующие настройки каждого правила; не создавайте дубли. Если уже используются другие детекторы с ограничением позиции, проверьте их условия перед перестановкой.

Подавление повторов и вывод находок

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры anomaly.transport и secfeeds

Параметр	Значения	Назначение и особенности
transport.behavioral.dedup_idle_window_sec	Секунды; 60	Подавляет повторы встроенных поведенческих находок и rat_ioc. 0 отключает подавление.
transport.protocol_anomaly.dedup_idle_window_sec	Секунды; 300	Подавляет повторы протокольных находок встроенного движка. 0 отключает подавление.
transport.behavioral.severity_threshold	0–3; 0	Информационное поле: не отбирает события доставки по важности.
transport.protocol_anomaly.severity_threshold	0–3; 0	Также не ограничивает доставку; отбор выполняется у получателя.
secfeeds.domain_whitelist	Массив доменов	Исключения общедоступных хостингов для поддерживающих эту настройку сценариев загрузки. Не исключает URL на этих доменах.

Параметр

Значения

Назначение и особенности

transport.behavioral.dedup_idle_window_sec

Секунды; 60

Подавляет повторы встроенных поведенческих находок и rat_ioc. 0 отключает подавление.

transport.protocol_anomaly.dedup_idle_window_sec

Секунды; 300

Подавляет повторы протокольных находок встроенного движка. 0 отключает подавление.

transport.behavioral.severity_threshold

0–3; 0

Информационное поле: не отбирает события доставки по важности.

transport.protocol_anomaly.severity_threshold

0–3; 0

Также не ограничивает доставку; отбор выполняется у получателя.

secfeeds.domain_whitelist

Массив доменов

Исключения общедоступных хостингов для поддерживающих эту настройку сценариев загрузки. Не исключает URL на этих доменах.

Дедупликация этой секции не применяется к находкам Lua-детекторов L2, которые отправляют событие напрямую в канал. Повторы таких находок группируют на стороне приёмника. Для сетевого движка временные окна sensor-pcap рассчитываются по времени пакетов записи.