Обслуживание и обновление on Alertix NTA

Обновление ПО

Mon, 01 Jan 0001 00:00:00 +0000

Обновляйте пакет Alertix-NTA в окно обслуживания: на время остановки sensor.target захват и обработка трафика прерываются. Перед обновлением сохраните резервные копии конфигурации и собственных скриптов по разделу Резервное копирование. Рабочие JSON-файлы из /opt/alertixnta/config/ пакет обычно не заменяет, но файлы поставки в /opt/alertixnta/config/metadata/, /opt/alertixnta/config/filter/ и поставляемые скрипты могут быть обновлены. Правки, внесённые непосредственно в поставляемые скрипты, не сохранятся.

Проверьте наличие средств сборки и заголовков работающего ядра до установки пакета. Модуль ipc_engine пересобирается при каждом обновлении Alertix-NTA; заголовки для другой версии ядра не подходят. Порядок проверки и команды для DEB- и RPM-систем приведены в разделе Проверка заголовков ядра и Secure Boot. Если вместе с Alertix-NTA обновлено ядро ОС, установите заголовки для нового ядра до перезагрузки.

Обновление баз решающих правил

Mon, 01 Jan 0001 00:00:00 +0000

В Сенсоре обновляются два разных вида данных: Lua-скрипты, определяющие логику анализа, и индикаторы компрометации из внешних источников. Для них действуют разные механизмы. Подключение Сенсора к Alertix через коннектор служит для передачи событий и не обновляет локальные правила Сенсора.

Lua-скрипты анализа

Скрипты находятся в подкаталогах /opt/alertixnta/scripts/. Изменённый файл не применяется автоматически при сохранении: служба сравнивает контрольную сумму подключённого скрипта с загруженной копией только при перечитывании конфигурации. Перед изменением сохраните копию каталога скриптов по разделу Резервное копирование.

Измените файл скрипта в каталоге его стадии. Новый скрипт внесите в список соответствующей стадии с enabled: true: для анализа — в один из списков workFlow.preFilter, workFlow.detect, workFlow.postFilter, workFlow.analyseIPC или workFlow.onTimer файла /opt/alertixnta/config/analyser.json; для правил записи и парсеров — в recordingRules или luaParsers файлов ethercap.json и pcap.json.
Примените изменения службы, использующей скрипт. Для стадий анализа L1–L4 перечитайте конфигурацию sensor-analyser; для правил захвата и обработки PCAP — конфигурацию соответствующей службы:
```
sudo systemctl reload sensor-analyser
sudo systemctl reload sensor-ethercap
sudo systemctl reload sensor-pcap
```
Выполняйте только команды для изменённых стадий.
Проверьте журнал соответствующей службы: сообщение об изменении содержимого скрипта подтверждает, что новая версия загружена.

Пакет Сенсора при обновлении заменяет поставляемые скрипты. Собственные правила храните под отдельными именами, не совпадающими с именами скриптов поставки, и сохраняйте их копию перед обновлением пакета.

Контроль целостности компонентов

Mon, 01 Jan 0001 00:00:00 +0000

После установки и обновления Сенсора проверяйте, не изменились ли исполняемые файлы, поставляемые Lua-скрипты и библиотеки. Рабочие JSON-файлы конфигурации создаются из шаблонов и затем изменяются администратором, поэтому проверка пакета не подтверждает их целостность: для них нужен отдельный эталон контрольных сумм.

Проверка файлов пакета

Для RPM-систем используйте команду:

rpm -V alertixnta

Отсутствие вывода означает, что менеджер пакетов не нашёл расхождений с установленным пакетом. При наличии строк в выводе выясните причину изменения файла; например, правка поставляемого Lua-скрипта на месте меняет его размер и контрольную сумму.

Для DEB-систем используйте debsums (если утилита не установлена, сначала установите одноимённый пакет):

debsums alertixnta

Резервное копирование

Mon, 01 Jan 0001 00:00:00 +0000

Перед обновлением или переустановкой Alertix-NTA сохраните его рабочие конфигурации и собственные Lua-скрипты. Копию нужно делать на каждом Alertix-NTA: локальные настройки отдельных узлов могут различаться. Выполняйте резервное копирование также регулярно по принятому в организации расписанию; храните копии вне каталога установки и ограничьте к ним доступ, поскольку конфигурации могут содержать параметры подключения.

Для Alertix-NTA сохраните:

каталог /opt/alertixnta/config/ целиком, включая рабочие JSON-файлы и настройки профилей передачи событий в Alertix;
каталог /opt/alertixnta/scripts/ с собственными Lua-скриптами и правилами.