Порядок подключения детекторов L2

Некоторые протокольные детекторы завершают обработку события на L2. Детектор угроз должен успеть получить событие раньше. Встроенные детекторы имеют постоянные номера, поэтому простого размещения строки непосредственно перед именем протокольного правила недостаточно.

Таблица. Позиции правил в workFlow.detect

ПравилоУсловие при счёте с нуляДействие

l2-ldap-recon.lua

Позиция меньше 4

Перенесите в начало массива; требуется заполненный whitelist_admin_hosts.

l2-smb-lateral.lua

Позиция меньше 7

Перенесите в начало массива; требуется заполненный whitelist_admin_hosts.

l2-tls-anomaly.lua

Позиция меньше 8

Добавьте включённую запись, если отсутствует; файл должен находиться в an-detect.

l2-dcerpc-lateral.lua

Нет такого ограничения по завершающему детектору

Заполните списки и включите запись.

Для совместного подключения перечисленных проверок удобно использовать первые позиции: LDAP — 0, SMB — 1, TLS — 2, DCE/RPC — 3. Сохраните остальные элементы массива и существующие настройки каждого правила; не создавайте дубли. Если уже используются другие детекторы с ограничением позиции, проверьте их условия перед перестановкой.

python3 - <<'CHECK'
import json
from pathlib import Path
p = Path('/opt/alertixnta/config/analyser.json')
d = json.loads(p.read_text())
names = {
    'l2-ldap-recon.lua', 'l2-smb-lateral.lua',
    'l2-tls-anomaly.lua', 'l2-dcerpc-lateral.lua'
}
for pos, rule in enumerate(d['workFlow']['detect']):
    if rule.get('name') in names:
        print(pos, rule['name'], rule.get('enabled'))
CHECK

  1. Сохраните analyser.json и anomaly.json.

  2. Заполните доверенные адреса и нужные параметры детекторов.

  3. Добавьте или перенесите записи в workFlow.detect. Проверьте номера позиций приведённой командой.

  4. Проверьте JSON обоих файлов. При перестановке существующих правил выполните restart sensor-analyser.

  5. На контрольной записи проверьте загрузку правила и ожидаемую находку. Повторите проверку для доверенного узла, чтобы убедиться в работе исключений.