Kafka/NetFlow/IPFIX

Для потоковой интеграции выберите формат по типу принимающей системы. Профили настраиваются в /opt/alertixnta/config/transfer.json; до их включения согласуйте с администратором получателя адреса, порты, формат и необходимые права доступа.

  • kafka передаёт CEF-события из каналов log:cef-* и данные о сетевых сессиях из каналов sessions:tcp, sessions:udp, sessions:ip. Для каждого потока укажите соответствующий канал, брокеры и тему Kafka. Если брокер использует TLS, подготовьте доверенный сертификат CA; для взаимной аутентификации — также клиентский сертификат и закрытый ключ. Закрытый ключ должен быть доступен службе передачи и защищён правами доступа, например 0600.

  • netflow отправляет сведения о завершённых сессиях в форматах NetFlow v1, v5 или v9. Поставляемые профили для TCP-, UDP- и IP-сессий используют v9 и выключены. NetFlow v9 подходит для IPv4 и IPv6; версии v1 и v5 передают только IPv4. Версию профиля согласуйте с коллектором.

  • ipfix передаёт записи об открытии, обновлении и закрытии сессии. Этот вариант подходит, если коллектору нужны сведения о длительных сессиях до их завершения. Для IPv4 и IPv6 используются отдельные шаблоны IPFIX; коллектор должен уметь их принимать.

  • statflow предназначен для передачи статистики работы Alertix-NTA. Не смешивайте его с профилями экспорта сетевых сессий: это разные потоки данных и разные каналы.

Не включайте одновременно профили только потому, что они присутствуют в поставке: определите, какие типы событий и сессий нужны получателю, и настройте соответствующие каналы и темы или коллекторы.