Обновление баз решающих правил

В Сенсоре обновляются два разных вида данных: Lua-скрипты, определяющие логику анализа, и индикаторы компрометации из внешних источников. Для них действуют разные механизмы. Подключение Сенсора к Alertix через коннектор служит для передачи событий и не обновляет локальные правила Сенсора.

Lua-скрипты анализа

Скрипты находятся в подкаталогах /opt/alertixnta/scripts/. Изменённый файл не применяется автоматически при сохранении: служба сравнивает контрольную сумму подключённого скрипта с загруженной копией только при перечитывании конфигурации. Перед изменением сохраните копию каталога скриптов по разделу Резервное копирование.

  1. Измените файл скрипта в каталоге его стадии. Новый скрипт внесите в список соответствующей стадии с enabled: true: для анализа — в один из списков workFlow.preFilter, workFlow.detect, workFlow.postFilter, workFlow.analyseIPC или workFlow.onTimer файла /opt/alertixnta/config/analyser.json; для правил записи и парсеров — в recordingRules или luaParsers файлов ethercap.json и pcap.json.

  2. Примените изменения службы, использующей скрипт. Для стадий анализа L1–L4 перечитайте конфигурацию sensor-analyser; для правил захвата и обработки PCAP — конфигурацию соответствующей службы:

    sudo systemctl reload sensor-analyser
sudo systemctl reload sensor-ethercap
sudo systemctl reload sensor-pcap

    Выполняйте только команды для изменённых стадий.

  3. Проверьте журнал соответствующей службы: сообщение об изменении содержимого скрипта подтверждает, что новая версия загружена.

Пакет Сенсора при обновлении заменяет поставляемые скрипты. Собственные правила храните под отдельными именами, не совпадающими с именами скриптов поставки, и сохраняйте их копию перед обновлением пакета.

Источники индикаторов

Служба sensor-identity скачивает индикаторы по профилям secFeeds файла /opt/alertixnta/config/identity.json. Профиль задаёт источник, сценарий разбора и интервал обновления updateInterval; после включения загрузка выполняется по расписанию. Полученные индикаторы хранятся в /opt/alertixnta/cache/identity/. Сопоставление с трафиком также требует включить нужные атрибуты в секции iocAttributes файла /opt/alertixnta/config/analyser.json. Поставляемые профили источников по умолчанию выключены.

Профиль et_open_suricata загружает файл правил Suricata и создаёт базы Hyperscan, но готового решающего правила, которое использует эти базы, в поставке нет. Не считайте включение этого профиля самостоятельным включением обнаружения по правилам Suricata.