Threat Intelligence

Для сопоставления наблюдаемого трафика с индикаторами компрометации настройте источники Threat Intelligence в секции secFeeds файла /opt/alertixnta/config/identity.json. Перед включением профиля проверьте доступность источника и заполните параметры авторизации, если они требуются. Поставляемые профили источников по умолчанию выключены.

Служба sensor-identity загружает индикаторы при запуске включённого профиля, затем обновляет их через интервал updateInterval. Значение iocTtl определяет срок хранения индикатора в локальном кэше /opt/alertixnta/cache/identity/. Согласуйте оба параметра с периодичностью обновления источника: устаревшие индикаторы не должны храниться дольше необходимого, а частые загрузки не должны превышать лимиты источника.

В секции iocAttributes файла /opt/alertixnta/config/analyser.json включите только атрибуты трафика, которые необходимо сопоставлять с IoC: например, домены, URL, хэши и отпечатки. sensor-analyser извлекает выбранные значения, а sensor-identity ищет точное совпадение с загруженными индикаторами. При совпадении формируется событие в канале threat:ti_match; находка записывается в /opt/alertixnta/log/threats.log.