SIEM/SOAR

Для передачи событий в SIEM/SOAR подготовьте Syslog-приёмник: его адрес, порт, транспорт и формат сообщений. На Alertix-NTA экспорт выполняют профили syslog файла /opt/alertixnta/config/transfer.json.

Для подключения к Alertix создайте на стороне Платформы коннектор Alertix-NTA и свяжите его с Syslog-приёмником. Alertix-NTA отправляет события на адрес и порт этого приёмника; на самом Alertix-NTA для интеграции не нужны локальная база данных и отдельный сервер управления. Подготовка принимающей стороны описана на странице Подготовка приёма событий на стороне Alertix.

События протоколов можно передавать в формате CEF двумя способами. При script_name: ethersensor_lua_cef.lua сообщение формируется скриптом службы передачи; этот режим подходит, если требуется изменить преобразование события. При channel_name: log:cef-<протокол> профиль читает готовые CEF-сообщения из канала анализатора; этот режим целесообразен для большого потока. Каждому каналу log:cef-* нужен отдельный профиль передачи. Если включить профиль только для log:cef-http, другие типы событий в этот приёмник не поступят. Метаданные защищённых соединений, включая HTTPS, передаются через log:cef-ssl.

Для находок об угрозах используются профили syslog_threat_*, привязанные к каналам threat:ti_match, threat:behavioral и threat:protocol_anomaly. Они передают отдельные однострочные JSON-объекты без заголовка Syslog, а не CEF. Учитывайте различие форматов при настройке источника событий на стороне SIEM/SOAR.