Первоначальная настройка on Alertix NTA

Установка и проверка лицензии

Mon, 01 Jan 0001 00:00:00 +0000

В демо режиме Alertix-NTA работает без лицензии. Лицензия хранится в /opt/alertixnta/license.licx.

Запрос лицензии

Для запроса лицензии необходимо предоставить информацию о текущем UHID сервера, на котором произведена инсталляция Alertix-NTA.

Для этого после инсталляции Alertix-NTA перейдите в каталог инсталляции /opt/alertixnta и выполните запуск консольной утилиты uhid:

cd /opt/alertixnta/
sudo ./uhid -i

Скопируйте полный текстовый вывод утилиты: строку UHID и все разделы сведений об оборудовании. Этот вывод является вашим запросом на лицензию. Чтобы сохранить вывод в файл для передачи производителю, добавьте ключ -o; утилита создаёт файл и записывает в него тот же вывод:

Проверка локальной конфигурации

Mon, 01 Jan 0001 00:00:00 +0000

При установке пакета создаются рабочие конфигурации служб Alertix-NTA и регистрируются их unit-файлы systemd. Убедитесь, что каталог /opt/alertixnta/config/ содержит JSON-файлы служб, в том числе analyser.json, ethercap.json, pcap.json, watcher.json и quotas.json. Если файл уже существовал до обновления, пакет не должен заменять его шаблоном: сохраните действующие настройки и отдельно сравните их с новыми шаблонами из /opt/alertixnta/config/init/.

Пакет включает и запускает агрегирующую цель sensor.target. Служба sensor-ipc перед своим запуском собирает и загружает модуль ipc_engine, если модуль для работающего ядра отсутствует. После смены ядра убедитесь, что установлены соответствующие заголовки, затем проверьте цель и модуль по разделу Проверка установки Alertix-NTA.

Базовая настройка безопасности

Mon, 01 Jan 0001 00:00:00 +0000

Ограничьте ICAP-клиентов в /opt/alertixnta/config/icap.json.

Отключите демонстрационный профиль REST API rapi_profile_1:

{
 "enabled": false,
 "name": "rapi_profile_1",
 "script": "rapi_test_script.lua",
 "listenAddress": { "ipAddress": "127.0.0.1", "port": 50000 }
}

При необходимости отключите профили filedrop-*.

Настройка правил анализа и доставки

Mon, 01 Jan 0001 00:00:00 +0000

Включите базовые правила L2: l2-generic.lua, l2-file-upload.lua, l2-file-download.lua.
Проверьте, не отбрасывает ли l3-dropall.lua нужные события. Изменяйте правило только после проверки его назначения.

Настройте профиль доставки filedrop-any:

{
 "name": "filedrop-any",
 "protocol": "filedrop",
 "enabled": true,
 "default": true,
 "file_drop_path": "/opt/alertixnta/events/filedrop",
 "save_format": "json"
}

Проверьте появление событий:

sudo find /opt/alertixnta/events/filedrop -type f -mmin -15 | head -n 20