Приложение А. Перечень портов и файлов конфигурации

sensor-rapi (метрики Prometheus) ⁴

Порт отдельного профиля ²

TCP (HTTPS, HTTP/2)

Входящий

rapi.json

Сбор метрик системой Prometheus по пути /metrics, который обслуживает Lua-скрипт rapi_prometheus.lua. В поставке скрипт не назначен ни одному профилю: порт появляется после создания профиля, как описано в примечании ²

sensor-ipc

—

—

—

ipc.json

Модуль ядра ipc_engine (файл ipc-engine.ko) и разделяемая память, TCP-порты не используются

sensor-manager

—

—

—

ipc.json

Собственных сетевых портов нет; подключение Alertix-NTA к Alertix для передачи событий выполняет sensor-transfer

sensor-watcher

—

—

—

watcher.json

TCP-порты не используются (мониторинг, журналирование, watchdog)

sensor-analyser

—

—

—

analyser.json

TCP-порты не используются (анализ через IPC-каналы)

sensor-ethercap

—

—

—

ethercap.json

Пассивный захват через AF_PACKET (по умолчанию), AF_XDP либо DPDK (в пакетах с поддержкой DPDK) и BPF-фильтры; TCP-порты не используются

sensor-pcap

—

—

—

pcap.json

Чтение файлов PCAP и pcapng из /opt/alertixnta/data/capdrop/; TCP-порты не используются

sensor-rapi (rapi_profile_1, скрипт rapi_test_script.lua)

50000

TCP (HTTPS, HTTP/2)

Входящий

rapi.json

Демонстрационный профиль REST API. По умолчанию слушает только 127.0.0.1:50000 (loopback) ⁵. В эксплуатации рекомендуется отключить профиль ("enabled": false) и не открывать его на внешние адреса

sensor-rapi (rapi_profile_2, скрипт rapi_counters.lua)

50001

TCP (HTTPS, HTTP/2)

Входящий

rapi.json

REST API счётчиков производительности: пути /, /structure, /counters. По умолчанию слушает только 127.0.0.1:50001 ⁵; для обращения с другого узла задайте в профиле параметр listenAddress.ipAddress (0.0.0.0 либо адрес конкретного интерфейса) и разрешите доступ к порту только доверенным узлам правилами межсетевого экрана. Метрики в формате Prometheus этот профиль не отдаёт ²

sensor-icap

1344

TCP

Входящий

icap.json

ICAP-сервер (plain) для приёма трафика от прокси

sensor-icap (SSL)

1345

TCP (TLS)

Входящий

icap.json

ICAPS-сервер (ICAP over TLS)

sensor-identity (wmi)

135 + динамические ¹

TCP (RPC/DCOM)

Исходящий

identity.json

Опрос контроллеров домена Active Directory по WMI/DCOM (секция domainControllers); только в редакции для Windows Server

sensor-identity (dns)

53

UDP/TCP

Исходящий

identity.json

Разрешение имён DNS

sensor-identity (dnsbl)

53

UDP/TCP

Исходящий

identity.json

Проверка по спискам DNSBL

sensor-identity (authFeeds: authfeed_profile_1, «Palo Alto»)

10514

UDP

Входящий

identity.json

Приём журналов аутентификации Palo Alto (обработчик palo_alto_authfeed.lua). Порт прослушивается, пока профиль включён; в поставке профиль включён

sensor-identity (authFeeds: authfeed_profile_2, «Blue Coat»)

10515

TCP (TLS) ³

Входящий

identity.json

Резервный профиль приёма журналов аутентификации. В поставке выключен и не имеет назначенного обработчика: перед включением укажите в параметре script обработчик из /opt/alertixnta/scripts/auth-log/ либо собственный, созданный по шаблону template_script_authfeed.lua

sensor-identity (authFeeds: authfeed_profile_3, «Angara»)

10516

TCP (TLS) ³

Входящий

identity.json

Приём событий безопасности Windows, пересылаемых агентом NXLog (обработчик nxlog_authfeed.lua). Порт прослушивается, пока профиль включён; в поставке профиль включён. Для приёма журналов RADIUS (NPS) и DHCP-сервера Microsoft через NXLog создайте отдельные профили на свободных портах с обработчиками nxlog_radius_authfeed.lua и nxlog_dhcp_authfeed.lua

sensor-transfer (syslog)

514

UDP, TCP либо TCP (TLS)

Исходящий

transfer.json

Экспорт событий в Syslog-приёмник Alertix, связанный с коннектором Alertix-NTA, либо в другую SIEM. События угроз из каналов threat:* передаются в формате JSON: поставляемый профиль syslog_threat_ioc_match (канал threat:ti_match) выключен, профили для каналов threat:behavioral и threat:protocol_anomaly создаёт администратор.

sensor-transfer (smtp)

25

TCP

Исходящий

transfer.json

Отправка объектов по SMTP (DLP-системы, архив)

sensor-transfer (imap)

993

TCP (IMAPS)

Исходящий

transfer.json

Отправка объектов по IMAP (архив)

sensor-transfer (ftp)

21

TCP

Исходящий

transfer.json

Передача файлов по FTP

sensor-transfer (sftp)

22

TCP

Исходящий

transfer.json

Передача файлов по SFTP

sensor-transfer (smb)

445

TCP

Исходящий

transfer.json

Передача файлов по SMB в общую папку Windows. Только в редакции для Windows Server; в редакции для Linux выключите поставляемый профиль smb-transport ("enabled": false)

sensor-transfer (kafka)

9093 (в поставляемых профилях)

TCP либо TCP (TLS)

Исходящий

transfer.json

Отправка событий в Apache Kafka: поставляемые профили kafka-tcp-traff, kafka-udp-traff, kafka-ip-traff передают сведения о сессиях TCP, UDP и IP, выключены и настроены на режим ssl с клиентским сертификатом. Адреса и порты брокеров задаются параметром kafka_bootstrap_servers

sensor-transfer (netflow)

9996

UDP

Исходящий

transfer.json

Экспорт завершённых сессий в формате NetFlow версии 1, 5 или 9 (параметр netflow_ver, по умолчанию 9)

sensor-transfer (ipfix)

4739

UDP

Исходящий

transfer.json

Экспорт данных IPFIX

sensor-transfer (statflow)

6014, 6114, 6214, 6314, 6414, 6514, 9600

UDP

Исходящий

transfer.json

Экспорт метрик в Telegraf

sensor-transfer (virtotal)

443

TCP (HTTPS)

Исходящий

transfer.json

Интеграция с VirusTotal

sensor-transfer (athena)

443

TCP (HTTPS)

Исходящий

transfer.json

Интеграция с песочницей Athena

sensor-transfer (ptsb)

443

TCP (HTTPS)

Исходящий

transfer.json

Интеграция с PT Sandbox

sensor-transfer (cyberprotego)

443

TCP (HTTPS)

Исходящий

transfer.json

Интеграция с DLP-системой КиберПротего

sensor-transfer (icap)

1344

TCP

Исходящий

transfer.json

Отправка объектов на ICAP-серверы (DLP-системы, песочницы)

sensor-ipc

ipc.json

Каналы IPC: количество и размер буферов, подканалы (во встроенной конфигурации число подканалов analyser и transfer равно числу ядер ЦП, но не более 8). Установочный пакет файл не содержит: его записывает служба sensor-watcher при запуске по встроенной конфигурации каналов, если файла нет; изменения вступают в силу после перезапуска цели sensor.target.

sensor-manager

—

Не имеет собственного JSON-файла конфигурации; использует общий ipc.json

sensor-watcher

watcher.json

Мониторинг служб, ротация журналов, watchdog; правила записи журналов logRules, в том числе журнала находок threats.log

sensor-ethercap

ethercap.json

Интерфейсы захвата, режим (AF_PACKET/AF_XDP/DPDK; DPDK — в пакетах с поддержкой DPDK), сессии, нативные и Lua-парсеры, BPF-фильтры, привязка к CPU

sensor-icap

icap.json

Настройки ICAP-сервера для приёма трафика от прокси

sensor-pcap

pcap.json

Профили обработки PCAP-файлов

sensor-analyser

analyser.json

Конвейер workflow (preFilter, detect, postFilter, analyseIPC, onTimer), Lua-скрипты, сопоставление с индикаторами компрометации (iocAttributes), пулы потоков, лимиты файлов, привязка к CPU

sensor-analyser

filter/http/http.filter.xml

Правила фильтрации сырых HTTP-пакетов

sensor-analyser

filter/msg.filter.xml

Правила фильтрации сообщений по полям

sensor-ethercap, sensor-pcap, sensor-identity, sensor-analyser

anomaly.json

Параметры нативных детекторов аномалий (сканирование, флуд, Slowloris, подмена ARP, TCP-пакеты вне сессии, сканирование с подхватом установленных сессий, фрагментация, атаки Land и Smurf), сопоставления сеансов удалённого доступа с индикаторами компрометации (rat_ioc), детекторов угроз стадии L2 (секции tls, dcerpc, ldap, smb), окон подавления повторов (transport) и списка доменов-исключений для индикаторов (secfeeds.domain_whitelist). Шаблон поставки — /opt/alertixnta/config/init/anomaly.json-default; существующий файл при установке не перезаписывается. Справочник параметров.

sensor-identity

identity.json

Профили опроса контроллеров домена Active Directory по WMI/DCOM (domainControllers; только в редакции для Windows Server), DNS, DNSBL, приёма журналов аутентификации (authFeeds), загрузки индикаторов компрометации (secFeeds)

sensor-transfer

transfer.json

Транспортные профили. В редакции для Linux доступны 16 протоколов: syslog, kafka, ipfix, netflow, filedrop, smtp, imap, ftp, sftp, icap, dbstat, statflow, cyberprotego, athena, ptsb, virtotal, а также групповой профиль gprofile; протокол smb — только в редакции для Windows Server

sensor-rapi

rapi.json

Профили REST API: адрес и порт прослушивания (listenAddress.ipAddress, listenAddress.port), Lua-скрипт профиля (script), сертификат и ключ TLS (cert, key)

—

lotustxn.json

Конфигурация обработки транзакций Lotus Notes/Domino. В поставляемую сборку не входит: файл не устанавливается, а служба, которая его читает, в состав пакета не включена

sensor-analyser, sensor-transfer

quotas.json

Квоты сохранения результатов обработки в /opt/alertixnta/data/results/: значение — объём в МиБ, 0 — не сохранять; в поставке сохраняются успешно распознанные объекты (detectOk) и недоставленные получателю результаты (sendFail)

Общий

sensor.target

Цель systemd для управления всеми службами (/etc/systemd/system/): запускает все 10 служб Alertix-NTA; восемь из них стартуют после готовности sensor-ipc, служба sensor-manager от неё не зависит

types_event.txt

Справочник типов событий

types_body.txt

Справочник типов тел сообщений

types_dproto.txt

Реестр идентификаторов протоколов (значений session.data_proto); имя протокола собственного детектора вносится сюда до его использования

attack_catalog.json

Справочник соответствия детекторов Alertix-NTA базе знаний MITRE ATT&CK (редакция 15): 29 техник и подтехник в 8 тактиках; для каждой техники указаны детектор и секция anomaly.json, управляющая им. Справочник описывает покрытие: правка файла разметку событий не меняет.

proto.json

Описание протоколов

magic.mgc

Скомпилированная база сигнатур файлов (libmagic)

/opt/alertixnta/

Корневая директория установки Alertix-NTA (исполняемые файлы служб и утилит)

/opt/alertixnta/config/

Конфигурационные файлы служб Alertix-NTA

/opt/alertixnta/config/init/

Эталонные шаблоны поставки: файлы конфигурации *.json-default, копия каталога скриптов (scripts), образцы для Grafana, Prometheus и Telegraf

/opt/alertixnta/config/metadata/

Справочные файлы и метаданные протоколов

/opt/alertixnta/config/filter/

XML-фильтры сообщений и HTTP-пакетов

/opt/alertixnta/log/

Журналы работы служб, CEF-журналы протоколов, журнал сессий, журнал находок threats.log, файлы статистики; подкаталог backup/ — ротированные копии журналов и их архивы ZIP

/opt/alertixnta/data/

Данные: временный кэш объектов (temp), capdrop-файлы, результаты анализа в пределах квот (results), очередь повторной доставки (retrans)

/opt/alertixnta/events/

События filedrop: каталоги по типам протоколов (email, web, im, ftp, db, ssl, icap и др.). Создаётся отложенно службой sensor-transfer при первом событии с профилем транспорта filedrop; на свежей инсталляции без активных filedrop-профилей каталог отсутствует

/opt/alertixnta/cache/

Кэш данных: LMDB-базы скриптов (scripts), кэш ICAP, кэш идентификации и таблицы индикаторов компрометации (identity), словари (dicts), сжатие (compress)

/opt/alertixnta/run/

PID-файлы служб (sensor_<имя>.pid)

/opt/alertixnta/scripts/

Lua-скрипты (решающие правила) по каталогам стадий, исходным текстом; эталонная копия поставки — /opt/alertixnta/config/init/scripts/. Собственные правила храните под собственными именами файлов и перед обновлением пакета сохраняйте их копию

/opt/alertixnta/scripts/secfeeds/

Сценарии загрузки индикаторов компрометации (профили secFeeds службы sensor-identity); здесь же профиль et_open_suricata сохраняет базы Hyperscan suricata-<протокол>.<буфер>.hsdb (например, suricata-http.uri.hsdb)

/opt/alertixnta/certs/

Сертификаты TLS/SSL (ICAPS, authFeeds, Kafka, REST API)

/opt/alertixnta/help/

Справочные файлы

/etc/systemd/system/sensor.target

Агрегирующий target-файл для управления всеми службами