Интеграция с внешними системами on Alertix NTA

SIEM/SOAR

Mon, 01 Jan 0001 00:00:00 +0000

Для передачи событий в SIEM/SOAR подготовьте Syslog-приёмник: его адрес, порт, транспорт и формат сообщений. На Alertix-NTA экспорт выполняют профили syslog файла /opt/alertixnta/config/transfer.json.

Для подключения к Alertix создайте на стороне Платформы коннектор Alertix-NTA и свяжите его с Syslog-приёмником. Alertix-NTA отправляет события на адрес и порт этого приёмника; на самом Alertix-NTA для интеграции не нужны локальная база данных и отдельный сервер управления. Подготовка принимающей стороны описана на странице Подготовка приёма событий на стороне Alertix.

Подготовка приёма событий на стороне Alertix

Mon, 01 Jan 0001 00:00:00 +0000

Чтобы настроить сбор событий с Alertix NTA на стороне Alertix Platform, перейдите в раздел "Настройки ресиверов":

В версии 3.9.1 и более ранних: «Обслуживание» → «Ресиверы».

Начиная с версии 3.10: «Сбор событий» → «Ресиверы».

В разделе настройки Syslog-ресиверов откройте конфигурацию экземпляра, на адрес которого направлен поток событий с Alertix NTA.

Раскройте таблицу с неподключёнными источниками (1). Найдите адрес или имя устройства, с которого настроена отправка событий сетевого сенсора, и нажмите «Добавить» напротив нужного источника (2).

DLP

Mon, 01 Jan 0001 00:00:00 +0000

Для передачи перехваченных объектов в DLP-систему сначала выясните, каким способом она принимает данные и в каком формате ожидает файлы. Затем подготовьте адрес и порт приёмника, учётную запись с необходимыми правами и каталог назначения, если используется файловый транспорт. Профили доставки задаются в /opt/alertixnta/config/transfer.json.

smtp отправляет объекты в виде EML-сообщений на SMTP-приёмник или почтовый ящик DLP-системы. Укажите сервер, порт, адреса отправителя и получателя.
imap помещает сообщения в папку почтового ящика. Учётной записи требуется право записи в папку file_drop_path; для защищённого соединения используются enable_ssl и порт IMAPS.
filedrop сохраняет объекты в локальный каталог, откуда их забирает DLP-система или агент архивации. Для файловых транспортов параметр save_format определяет формат: json по умолчанию, eml, xml, attachments или syslog. Если приёмнику нужны EML-конверты, задайте save_format: eml явно.
ftp и sftp передают файлы на удалённый сервер. Для защищённой передачи предпочтителен sftp; профиль ftp с enable_ssl использует неявный FTPS, а не явный TLS на порту 21.
cyberprotego передаёт объекты в DLP-систему «Кибер Протего» через API. Для него нужны адрес API, Client ID, Client Secret и скрипт cyberprotego.lua. Не помещайте секрет в документацию или систему контроля версий.

Sandbox

Mon, 01 Jan 0001 00:00:00 +0000

Интеграция с песочницей позволяет передавать перехваченные файлы и вложения на анализ. Выберите профиль в /opt/alertixnta/config/transfer.json по используемому сервису: virtotal — VirusTotal, athena — Athena, ptsb — PT Sandbox. До включения профиля подготовьте адрес и порт сервиса, требуемый ключ API или токен, сетевой доступ и назначение профиля для нужных событий.

Профили используют скрипты из каталога /opt/alertixnta/scripts/tr-sandbox/: sandbox_virustotal.lua, sandbox_athena.lua и sandbox_ptsb.lua. Параметр script_name профиля должен указывать на скрипт выбранной песочницы. Скрипт обрабатывает вложения на этапах до и после отправки и учитывает ранее полученный результат, чтобы не отправлять их повторно без необходимости.

Threat Intelligence

Mon, 01 Jan 0001 00:00:00 +0000

Для сопоставления наблюдаемого трафика с индикаторами компрометации настройте источники Threat Intelligence в секции secFeeds файла /opt/alertixnta/config/identity.json. Перед включением профиля проверьте доступность источника и заполните параметры авторизации, если они требуются. Поставляемые профили источников по умолчанию выключены.

Служба sensor-identity загружает индикаторы при запуске включённого профиля, затем обновляет их через интервал updateInterval. Значение iocTtl определяет срок хранения индикатора в локальном кэше /opt/alertixnta/cache/identity/. Согласуйте оба параметра с периодичностью обновления источника: устаревшие индикаторы не должны храниться дольше необходимого, а частые загрузки не должны превышать лимиты источника.

Kafka/NetFlow/IPFIX

Mon, 01 Jan 0001 00:00:00 +0000

Для потоковой интеграции выберите формат по типу принимающей системы. Профили настраиваются в /opt/alertixnta/config/transfer.json; до их включения согласуйте с администратором получателя адреса, порты, формат и необходимые права доступа.

kafka передаёт CEF-события из каналов log:cef-* и данные о сетевых сессиях из каналов sessions:tcp, sessions:udp, sessions:ip. Для каждого потока укажите соответствующий канал, брокеры и тему Kafka. Если брокер использует TLS, подготовьте доверенный сертификат CA; для взаимной аутентификации — также клиентский сертификат и закрытый ключ. Закрытый ключ должен быть доступен службе передачи и защищён правами доступа, например 0600.
netflow отправляет сведения о завершённых сессиях в форматах NetFlow v1, v5 или v9. Поставляемые профили для TCP-, UDP- и IP-сессий используют v9 и выключены. NetFlow v9 подходит для IPv4 и IPv6; версии v1 и v5 передают только IPv4. Версию профиля согласуйте с коллектором.
ipfix передаёт записи об открытии, обновлении и закрытии сессии. Этот вариант подходит, если коллектору нужны сведения о длительных сессиях до их завершения. Для IPv4 и IPv6 используются отдельные шаблоны IPFIX; коллектор должен уметь их принимать.
statflow предназначен для передачи статистики работы Alertix-NTA. Не смешивайте его с профилями экспорта сетевых сессий: это разные потоки данных и разные каналы.