Конфигурация параметров сервиса

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки параметров сервиса Census выберите операцию «Конфигурация». На странице редактирования параметров заполните поля актуальными данными.

Поле Описание

Census URL

URL адрес расположения самого сервиса. Задается при установке сервиса

Включить режим отладки

Изменение уровня логирования событий о работе сервиса (в т.ч. модуля интеграции со сканерами уязвимостей):

в положении «Нет» запущен уровень логирования Info – информационные уведомления;
в положении «Да» запущен режим отладки Debug – отладочные события

Контроль поступления событий от источников

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки параметров отслеживания сервисом Census конкретных типов источников, подключенных в Alertix, на странице управления сервисом выберите операцию «Источники».

На вкладке «Базовые настройки» выполните настройки полей таблицы:

при включенном флажке в столбце «Отслеживание» все хосты с таким типом источника будут добавлены в инвентаризацию; на странице Инвентаризация > Хосты можно будет увидеть хосты, которые добавил сервис (см. п. Обозреватель хостов);
столбец «Активность» позволяет настроить период активности для источника (в dhm формате, пример: 1d4h5m). Если в течение этого периода событий от источника не поступало, будет отправлено соответствующее сообщение в Opensearch в индекс «alertix-census-*». В дальнейшем, эту информацию можно выгружать в отчеты с шаблоном host_activity или создать правило signal по формированию уведомлений о прекращении поступления событий от конкретных источников.

Конфигурация источников отдельных агентов

Mon, 01 Jan 0001 00:00:00 +0000

В случае, когда пользователю требуется внести специфические настройки поступления событий от конкретного типа агентов, на странице управления сервисом выберите операцию «Источники», откройте вкладку «Конфигурация отдельных агентов» и введите программный код.

Пример конфигурации:

- name: MN100679
activity_period: 1d
activity_type: winlogbeat
- name: MN100746
activity_period: 5d
activity_type: winlogbeat

где:

name - название хоста;
activity_period - период активности, который будет проверяться;
activity_type - тип активности, о котором будет сообщение в Opensearch.

Поддерживаемые типы активности: winlogbeat, sysmon, wazuh, wec, auditbeat, linux и beat – на все модули beat.

Конфигурация источников без агентов

Mon, 01 Jan 0001 00:00:00 +0000

В случае, когда пользователю требуется внести специфические настройки поступления событий от конкретного источника без агентов, на странице управления сервисом выберите операцию «Источники», откройте вкладку «Конфигурация без агентов».

Введите программный код в поле в yaml-формате для поиска по точно указанным индексам и событиям. Необходимо указать:

имя хоста источника (name);
его IP-адреса;
типы источников;
индекс, в котором осуществляется поиск событий, указывающих на его активность;
имя поля и проверяемое при запросе значение.

Формат конфигурации поля в формате yaml (с поясняющими комментариями):

Настройка источников пополнения инвентаризационной информации

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки параметров пополнения инвентаризационной информации из разных источников выберите операцию «Автоинвентаризация».

На странице «Автоинвентаризация» выделены три источника поступления данных:

из данных сканеров – обнаружение уязвимостей в событиях ИБ; должна быть настроена интеграция со сканерами уязвимостей;
по событиям - обнаружение хостов в событиях ИБ;
из LDAP – обнаружение сведений о ресурсах в каталогах LDAP.

Таблица 1. Параметры добавления ресурсов в данные инвентаризации
Источник	Параметр	Описание
Из данных сканеров	Автоматическое добавление ресурсов	Положение «Вкл.» означает, что при обнаружении уязвимости на хосте в событиях ИБ (есть информация об адресе узла) и отсутствии соответствующего ресурса в данных инвентаризации (видны на странице Инвентаризация > Ресурсы - см. Добавление ресурсов), будет автоматически создаваться ресурс с указанием его имени.
По событиям	Автоматическое добавление ресурсов	Положение «Вкл.» означает, что при обнаружении хоста в событиях ИБ и отсутствии соответствующего ресурса в данных инвентаризации (видны на странице Инвентаризация > Ресурсы - см. Добавление ресурсов), будет автоматически создаваться ресурс с указанием его имени
Из LDAP	Автоматическое добавление ресурсов	Положение «Вкл.» означает, что при обнаружении в каталогах LDAP сведений о пользователях и компьютерах и отсутствии соответствующего ресурса в данных инвентаризации (видны на странице Инвентаризация > Ресурсы - см. Добавление ресурсов), будет автоматически создаваться ресурс или учетная запись
	Список DN для запроса	Список Distinguished Name в домене, элементы которого будут добавляться в индекс по результатам выгрузки запросов сервиса. Значения списка вводятся построчно
	Настройка regex для выделения отделов из OU	Поле применяется только если в домене иерархия отделов закодирована в OU (Organizational Unit), и требуется эти значения хранить в связанной записи

При изменении параметров конфигурации LDAP и изменении Списка DN для запроса, необходимо перезапустить сервис Census.

Удаление сервиса

Mon, 01 Jan 0001 00:00:00 +0000

Для удаления сервиса Census выберите операцию «Удаление» и нажмите кнопку «Удалить».

Рисунок 1.

Создается фоновая задача с именем: remove_<имя сервиса>_service_<доменное имя хоста>. Ход выполнения задачи можно наблюдать на странице «Задачи», доступной из раздела Мониторинг > Задачи.

В случае, если хост с компонентом недоступен, переведите переключатель Принудительное удаление в положение «Вкл.» и нажмите «Удалить».

После принудительного удаления компонента необходимо вручную удалить на хосте все служебные файлы (докер-контейнеры, логи, конфигурационные файлы filebeat, папки конфигурации). См. подробнее в разделе Ручное удаление платформы Alertix.

Обогащение и инвентаризация Census on Alertix

Конфигурация параметров сервиса

Контроль поступления событий от источников

Конфигурация источников отдельных агентов

Конфигурация источников без агентов

Настройка источников пополнения инвентаризационной информации

Удаление сервиса