Сетевые требования

Сетевая инфраструктура должна подавать на Alertix-NTA полную копию трафика контролируемых сегментов и обеспечивать связь с получателями результатов. Разделите интерфейсы перехвата и управления физически либо логически: это снижает риск вмешательства ОС в захват и отделяет анализируемый трафик от служебного обмена.

Источник трафика. Подайте на интерфейсы перехвата копию обоих направлений обмена (RX и TX). Для зеркалирования на коммутаторе (SPAN/Mirror Port) выберите исходные порты и включите оба направления трафика. На загруженном коммутаторе зеркалируемые пакеты могут отбрасываться; для высоконагруженных (от 10 Гбит/с) и критичных сегментов рекомендуется сетевой ответвитель (Network TAP).

Интерфейсы перехвата. Выделите их только для приёма копии трафика, не назначайте IP-адрес и отключите стек TCP/IP. Пропускная способность каждого интерфейса должна как минимум на 25 % превышать пиковую скорость поступающего на него трафика. Если источников несколько, учитывайте их суммарную пиковую нагрузку.

Интерфейс управления. Настройте статический IP-адрес, маску подсети, шлюз по умолчанию и DNS-серверы. Через этот интерфейс выполняются управление, мониторинг и доставка результатов. Для корректного обогащения событий DNS-серверы должны поддерживать обратное разрешение имён локальных узлов.

Сетевая связность. Разрешите необходимые соединения Alertix-NTA с DNS-серверами (UDP и TCP/53), сервером NTP (UDP/123), контроллерами домена Active Directory и системами-получателями (например, SIEM, DLP, Sandbox). Для подключения к Alertix откройте с интерфейса управления Alertix-NTA исходящее соединение к Syslog-приёмнику, связанному с коннектором Alertix; порт и транспорт определяются настройкой приёмника. Разрешайте только требуемые направления и порты; полный перечень приведён в разделе Приложение А. Перечень портов.