Управление конфигурацией агентов Alertix on Alertix

Настройка конфигурации агента Alertix

Mon, 01 Jan 0001 00:00:00 +0000

Для изменения конфигурации агента выполните следующие действия:

На странице управления агентами Alertix с помощью функции поиска выберите агента и нажмите кнопку "Редактировать" в столбце "Действия".
В открывшейся форме отображается принадлежность конфигурации агента к группе, системе (windows/linux) и перечень поддерживаемых модулей. Конфигурации по разным системам содержат разные списки модулей.
Для подключения модуля в конфигурации агента выберите нужную вкладку, отобразится пустой YAML/XML-файл. Включите переключатель Состояние модуля. По умолчанию агент получает конфигурацию модуля от группы "default". При изменении конфигурации и последующем сохранении, агенту будет присвоена персональная конфигурация (personal). Групповая конфигурация больше не будет действовать.
Выберите режим создания/редактирования конфигурации модуля:
1. пользовательский - отображается по умолчанию; представляет собой стандартную конфигурацию для всех beat-модулей с набором полей сбора данных (имена журналов или правила аудита);
2. профессиональный - помимо стандартных полей содержит ряд параметров для обработки и передачи данных в блоках "processors", "output".

Конфигурационный файл Winlogbeat

Mon, 01 Jan 0001 00:00:00 +0000

Конфигурационный файл сервиса Winlogbeat задается в формате YAML и по умолчанию расположен в папке C:\ProgramData\winlogbeat\winlogbeat.yml. В файле задаются как общие параметры сервиса, так и специфичные для его подсистем в соответствующих разделах.

Подробно с параметрами конфигурационного файла можно ознакомиться в документации производителя https://www.elastic.co/guide/en/beats/winlogbeat/7.4/configuring-howto-winlogbeat.html.

См. также Стандартный конфигурационный файл Winlogbeat.

Конфигурационный файл Sysmon

Mon, 01 Jan 0001 00:00:00 +0000

Конфигурационный файл Sysmon представлен в формате XML. Общий вид файла конфигурации:

<Sysmon schemaversion="4.82">
	<HashAlgorithms/>
	<CheckRevocation/>
	<EventFiltering/>
</Sysmon>

Таблица 1. Секции конфигурационного файла Sysmon
Секция	Описание
HashAlgorithms	Перечень контрольных сумм файлов, которые добавляются в события. Возможные значения: md5, sha1, sha256, IMPHASH
CheckRevocation	Включение функции проверки корректности сертификатов загружаемых драйверов
EventFiltering	Основная секция, в которой описываются события, подлежащие или исключенные из регистрации

Для управления регистрацией в секции EventFiltering задаются фильтрующие параметры, которые влияют на итоговое количество регистрируемых событий. Подробно с параметрами конфигурационного файла можно ознакомиться в документации производителя https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon.

Конфигурационный файл Auditbeat

Mon, 01 Jan 0001 00:00:00 +0000

Модуль auditbeat позволяет осуществлять периодический контроль целостности (неизменность) указанных файлов на компьютере (File Integrity Monitor – FIM).

Для использования данного функционала необходимо:

Создать новую конфигурацию (группу) для агентов.
Включить в созданной группе использование модуля auditbeat.
Указать конфигурацию модуля auditbeat, перечислив файлы и каталоги, целостность (неизменность) которых требуется контролировать в блоке конфигурации модуля file_integrity.
Добавить в созданную группу машины, для которых была создана данная конфигурация.

После применения новой конфигурации модуль сгенерирует ряд сообщений об обнаруженных файлах и каталогах при подсчете контрольных сумм.