Подавление повторов и вывод находок

Таблица. Параметры anomaly.transport и secfeeds

ПараметрЗначенияНазначение и особенности

transport.behavioral.dedup_idle_window_sec

Секунды; 60

Подавляет повторы встроенных поведенческих находок и rat_ioc. 0 отключает подавление.

transport.protocol_anomaly.dedup_idle_window_sec

Секунды; 300

Подавляет повторы протокольных находок встроенного движка. 0 отключает подавление.

transport.behavioral.severity_threshold

0–3; 0

Информационное поле: не отбирает события доставки по важности.

transport.protocol_anomaly.severity_threshold

0–3; 0

Также не ограничивает доставку; отбор выполняется у получателя.

secfeeds.domain_whitelist

Массив доменов

Исключения общедоступных хостингов для поддерживающих эту настройку сценариев загрузки. Не исключает URL на этих доменах.

Дедупликация этой секции не применяется к находкам Lua-детекторов L2, которые отправляют событие напрямую в канал. Повторы таких находок группируют на стороне приёмника. Для сетевого движка временные окна sensor-pcap рассчитываются по времени пакетов записи.

  1. Начните с наблюдения характерной рабочей нагрузки, включая резервное копирование, регламентные задания и согласованное сканирование.

  2. Включайте категории последовательно. Для каждой сопоставляйте находки с назначением узлов.

  3. Корректируйте конкретный порог или узкий список исключений; фиксируйте причину изменения.

  4. Повторите контрольный тест после настройки. Проверьте, что нежелательный шум уменьшился, а контрольное обнаружение сохранилось.

Встроенные проверки сканирования и флуда включаются установкой anomaly.enabled: true. Перечитайте только работающие службы, использующие изменённые секции. Для сетевого захвата это sensor-ethercap; для записей — sensor-pcap; для rat_ioc и исключений источников — sensor-identity; для L2 — sensor-analyser.

python3 -m json.tool /opt/alertixnta/config/anomaly.json \
  > /dev/null
sudo systemctl reload sensor-ethercap.service
sudo tail -n 30 /opt/alertixnta/log/threats.log