Общая информация о коннекторах

Коннектором является совокупность методов и машиночитаемых инструкций, осуществляющих прием, фильтрацию, обработку (включая парсинг, обогащение, форматирование, приведение к единой кодировке, тегирование, нормализацию и т.д.) и сохранение событий в нереляционной СУБД.

Коннекторы классифицируются по способам сбора данных:

  • Пассивные - осуществляют прием событий на заданный прослушиваемый порт, при этом формирование и отправка логов осуществляется на стороне источников;

  • Активные - сбор событий выполняется посредством осуществления запросов к БД, подключения и чтения сведений из файла и т.д.

Для одного и того же источника данных может быть разработано несколько коннекторов, различающихся способом сбора, например, сбор событий с системы управления антивирусным ПО приемом syslog или подключение к БД, а также множеством собираемой информации, например, множество событий аудита управления (администрирования) DLP и множество событий операций с информацией этого же DLP.

Коннекторы являются частью конфигурации ресиверов (Receivers). В настоящем документе сведения о коннекторах сгруппированы по используемому транспорту. Для подключения используются следующие транспорты:

  • Syslog – прием событий по протоколу syslog

  • JDBC – активный сбор запросами. Драйверы MS SQL, MySQL, Oracle, PostgreSQL

  • Beats – агентский сбор с использованием elastic beats

  • SNMP – прием с использование ловушек (SNMP traps)

  • Netflow – прием потока сведений о соединениях

  • Special – специфический транспорт (SOAP, ODATA, API)

  • WEC – прием потока событий Windows с использованием WEF

Используемые порты для приема событий:

Syslog

TCP\UDP 514

JDBC

TCP 1433,1521,3306,5432

Netflow

UDP 2055,2056

Beats

TCP 5044,5045,5602, UDP 5045

Special

TCP 80,443

SNMP

UDP 162

WEC

TCP 5985

Коннекторы от производителя осуществляют приведение к используемой Alertix схеме данных. Код коннекторов не раскрывается. Изменение схемы данных при необходимости ее расширения, фильтрации или дополнительной обработки допустимо только с использованием механизмов pre_filter и post_filter. Таким образом осуществляется защита от затирания изменений в момент установки обновлений кодов коннекторов, поставляемых производителем.

Коннекторы разрабатываются как на плановой основе, так и на основе запросов на разработку от действующих клиентов. Обновление коннекторов и добавление новых осуществляется в рамках выпуска обновлений Alertix (минорных и мажорных версий). В год выпускается не менее 1 мажорной версии и несколько минорных.