Адаптеры и фильтры

Таблица. Поля networkAdapters

ПараметрЗначенияНазначение и особенности

mac и driver

MAC-адрес и имя драйвера

Совместно идентифицируют адаптер. Сохраняйте значения обнаруженной записи.

enabled

true / false; false для нового адаптера

Разрешает захват.

description

Строка

Описание, обычно имя интерфейса ОС.

bus_info

Строка

Информация о шине, в том числе PCI-адрес. Полезна при сопоставлении портов.

comment

Строка

Назначение порта, источник зеркала и обслуживаемый сегмент.

filter.enabled

true / false; false

Включает BPF-фильтр адаптера.

filter.data

BPF-выражение

Определяет пакеты, допускаемые к обработке данным адаптером.

{
  "mac": "00:11:22:33:44:55",
  "driver": "ixgbe",
  "enabled": true,
  "description": "enp3s0",
  "comment": "SPAN сегмента серверов",
  "filter": {
    "enabled": true,
    "data": "not host 192.0.2.50"
  }
}

Пример — один элемент networkAdapters, а не готовая конфигурация сервера. Фильтр исключает пакеты с указанным узлом. BPF действует до анализа: исключённый пакет не появится ни в протокольном событии, ни в детекторе. Не ограничивайте захват только tcp, если требуется анализ DNS по UDP, ICMP или ARP.

Таблица. Структура дополнительных фильтров filters

ПараметрЗначенияНазначение и особенности

filters[].name

Строка

Имя набора.

groups[].enabled

true / false

Активность группы в наборе.

groups[].name

Строка

Имя группы.

rules[].type

accept / drop

Действие правила.

rules[].code

BPF-выражение

Условие для пакета.

rules[].comment

Строка

Пояснение назначения правила.

При изменении фильтров сохраняйте понятный порядок правил и проверяйте его на контрольном трафике. Фильтр адаптера и фильтрация внутри службы — разные уровни отбора; диагностировать отсутствие события следует начиная с самого раннего ограничения.