Подготовка к установке on Alertix

Операционная система и программная конфигурация

Mon, 01 Jan 0001 00:00:00 +0000

Платформа предназначена для функционирования в ОС Ubuntu версии 22.04 LTS Server. Допускается также установка на ОС Astra Linux 1.8 SE, Sberlinux 9.5 и RedOS 8.0.

При установке должен быть создан пользователь alertix, которому должен быть предоставлен беспарольный доступ к запуску команд с административными полномочиями, т.е. в файл /etc/sudoers необходимо внести:

alertix ALL=(ALL:ALL) NOPASSWD: ALL

Пользователь alertix на всех хостах инсталляции должен иметь идентификатор пользователя UID:1000 и идентификатор группы GID:1000.

При первоначальной установке ОС Ubuntu инсталлятор предлагает дополнительно установить ssh server. Если данный шаг был пропущен, то данный пакет установлен не будет и необходимо установить его самостоятельно.

Разбиение дисковых массивов

Mon, 01 Jan 0001 00:00:00 +0000

При установке ОС на СВТ в описанной ранее аппаратной конфигурации необходимо осуществить следующее разбиение дисковых разделов (диски группы HDD2 и 3 используются только для компонентов Data-cluster или в исполнении "все-в-одном").

Таблица 1. Разбиение дисковых разделов
Группа	Разбиение
HDD1	Объединенный в RAID 1 том полностью выделяется под корневой раздел (/) без выделения отдельных подразделов для каталогов /home, /usr, /var и т.п. Раздел подкачки (swap) не выделяется
HDD2	На каждом из томов данной группы создается файловая система (ext4 или xfs). Том может быть как блочным устройством (SSD диском), так и дисковым массивом, собранным из SSD дисков. Точки монтирования назначать в соответствии с удобством администрирования, например, /var/ssd1 и /var/ssd2 (дополнительно /var/ssd3 для трехузловых исполнений)
HDD3	На каждом из томов данной группы создается файловая система (ext4 или xfs). Том может быть как блочным устройством (HDD диском), так и дисковым массивом, собранным из HDD дисков. Рекомендуется использовать дисковые массивы из 2-3 дисков, объединенные в RAID0 для повышения скорости передачи данных. Один диск можно использовать только в случае маленьких потоков (менее 500 EPS). Точки монтирования назначать в соответствии с удобством администрирования, например, /var/hdd1 и /var/hdd2

Желательно использовать LVM при создании дисковых томов. ОС должна конфигурироваться без использования раздела и/или файла подкачки.

Настройка сетевого интерфейса

Mon, 01 Jan 0001 00:00:00 +0000

Желательно не использовать автоконфигурацию сетевых интерфейсов (DHCP).

Для изменения сетевого адреса внесите изменения в файл /etc/netplan/50-cloud-init.yaml, указав в полях addresses и gateway4 сетевой адрес и адрес шлюза по умолчанию соответственно. В случае наличия DNS сервера, укажите его адрес в поле nameservers: addresses, также в поле nameservers: search можете указать имена доменов для поиска. Для этого запустите текстовый редактор nano с указанием редактируемого файла:

# sudo nano /etc/netplan/50-cloud-init.yaml

Перемещение по тексту осуществляется посредством клавиш со стрелками. Измените необходимые поля, после чего нажмите комбинацию клавиш "Ctrl+X" для выхода из текстового редактора. На вопрос о сохранении файла "Save modified buffer?" (Answering ‘’NO’’ will DISCARD changes.) нажмите клавишу "Y". Подтвердите запись файла в ответ на следующий вопрос "File Name to Write: /etc/netplan/50-cloud-init.yaml" нажатием клавиши "Enter". Пример файла сетевой конфигурации приведен ниже:

Сетевой доступ к внешним ресурсам

Mon, 01 Jan 0001 00:00:00 +0000

Для установки необходимых пакетов в ОС и образов прикладного ПО, устанавливаемого скриптом установки, необходимо обеспечить доступ к следующим ресурсам сети Интернет для СВТ, на котором будет установлен компонент Console.

Таблица 1. Предоставление доступа в сеть Интернет для СВТ
Адрес	Протоколы	Цель
registry.ngrsoftlab.ru	HTTPS (TCP\443)	Собственный или производителя docker-registry, выступающий репозиторием обновлений и образов для первоначальной установки.
lk.ngrsoftlab.ru	HTTPS (TCP\443)	Кабинет обновлений правил Signal, шаблонов отчетов, дашбордов и другого обновляемого содержимого Платформы.

Доступ к репозиторию обновлений (docker-registry и кабинет обновляемого содержимого) осуществляется под персонифицированной учетной записью, регистрируемой для представителя организации. Срок действия учетной записи равен сроку действия приобретенной технической поддержки. Для предоставления учетной записи или ее изменения (блокирования, восстановления пароля и т.д.) необходимо направить письмо на адрес support@ngrsoftlab.ru.

Порядок установки Платформы Alertix на Astra Linux

Mon, 01 Jan 0001 00:00:00 +0000

Для подготовки сервера, на базе ОС Astra Linux 1.8 SE необходимо подготовить конфигурационный файл config.json для Docker, который должен располагаться в директории /root/.docker/.

Данный конфигурационный файл выглядит следующим образом:

{
 "auths": {
 "registry.ngrsoftlab.ru": {
 "auth": "cXdlcXdlOjEyMzEyMw=="
 }
 }
}

Где в секции auth содержатся логин и пароль (в формате login:password), закодированные в Base64.

Необходимо создать данный файл и закодировать в Base64 логин и пароль, которые будут предоставлены для установки Alertix.

Порядок установки Платформы Alertix на RedOS

Mon, 01 Jan 0001 00:00:00 +0000

Подготовка сервера к установке Alertix

echo "alertix ALL=(ALL:ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/alertix
sudo usermod -a -G wheel alertix

# отключаем swap
sudo swapoff -a
sudo sed -i '/ swap / s/^/#/' /etc/fstab

Установка и настройка необходимых пакетов

# обновляем и устанавливаем необходимые пакеты
sudo dnf update -y && sudo dnf upgrade -y

# перезапуск после обновлений
sudo reboot

# установка
sudo dnf install docker-ce \
 docker-ce-cli \
 containerd \
 openssh-server \
 curl \
 python3 \
 python3-docker \
 python3-pip \
 pass \
 postgresql \
 net-tools \
 jq \
 java-21-openjdk-headless \
 java-21-openjdk-devel \
 java-21-openjdk-jmods \
 -y

# настройка docker
sudo systemctl enable --now docker
sudo systemctl enable --now docker.socket
pip3 install pexpect

# настройка java
sudo jlink --verbose --add-modules ALL-MODULE-PATH --compress 2 --strip-debug --no-header-files --no-man-pages --output /usr/lib/jvm/java-jlink
sudo ln -nfs /usr/lib/jvm/java-jlink /usr/lib/jvm/jdk

Порядок установки Платформы Alertix на SberLinux

Mon, 01 Jan 0001 00:00:00 +0000

Подготовка сервера к установке Alertix

echo "alertix ALL=(ALL:ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/alertix
sudo usermod -a -G wheel alertix

# отключаем swap
sudo swapoff -a
sudo sed -i '/ swap / s/^/#/' /etc/fstab

Установка и настройка необходимых пакетов

# добавляем репозиторий epel
sudo dnf install -y https://dl.fedoraproject.org/pub/epel/9/Everything/x86_64/Packages/e/epel-release-9-10.el9.noarch.rpm
sudo dnf update

# добавляем и настраиваем репозиторий для docker
sudo dnf install dnf-plugins-core -y
sudo dnf-3 config-manager --add-repo https://download.docker.com/linux/rhel/docker-ce.repo
sudo sed -i 's/$releasever/9/g' /etc/yum.repos.d/docker-ce.repo && sudo sed -i 's/$basearch/x86_64/g' /etc/yum.repos.d/docker-ce.repo
sudo dnf clean all && sudo dnf update

# устанавливаем необходимые пакеты
sudo dnf install docker-ce \
 docker-ce-cli \
 containerd.io \
 openssh-server \
 curl \
 python3 \
 python3-docker \
 pass \
 postgresql \
 net-tools \
 jq \
 java-21-openjdk-headless \
 java-21-openjdk-devel \
 java-21-openjdk-jmods \
 -y

# настройка docker
sudo systemctl enable --now docker
sudo systemctl enable --now docker.socket

# настройка java
sudo jlink --verbose --add-modules ALL-MODULE-PATH --compress 2 --strip-debug --no-header-files --no-man-pages --output /usr/lib/jvm/java-jlink
sudo ln -nfs /usr/lib/jvm/java-jlink /usr/lib/jvm/jdk

Установка в изолированных средах

Mon, 01 Jan 0001 00:00:00 +0000

При необходимости установки и обновления в изолированных от Интернет сегментах сети необходимо развернуть локальную копию репозитория обновлений. Для этого необходимо добавление в локальный DNS записи для registry.ngrsoftlab.ru и выпуск сертификата для возможности установления https соединений. Содержимое локального репозитория, в т.ч. обновления, передаются производителем как tar-архивы <имякомпонента>.tar по запросу на адрес support@ngrsoftlab.ru.

Пример установки и настройки собственного локального репозитория - https://docs.docker.com/registry/deploying/

Допускается использование любого другого продукта, обеспечивающего docker api v2.

В репозитории должен быть создан пользователь с любыми логином, паролем и правами на запись в репозиторий (если в продукте есть ролевая модель).

Сетевой доступ для взаимодействия компонентов

Mon, 01 Jan 0001 00:00:00 +0000

Для интеграции компонентов Платформы с инфраструктурой внедрения требуется обеспечить доступность сетевых портов, перечисленных в таблице ниже, для подключения к соответствующим элементам ИТ инфраструктуры.

Таблица 1. Перечень сетевых портов для взаимодействия с инфраструктурой внедрения
Порт	Источник	Получатель	Протокол	Описание
TCP/25	Gateway	Почтовый сервер	SMTP	Уведомление о событии по электронной почте
UDP/53	Census	DNS сервер	DNS	Преобразование имен и адресов
TCP/443	Gateway	Сервер Telegram	HTTPS	Уведомление о событии в Telegram и другие мессенджеры
TCP/636	Console	LDAP сервер	LDAPS	Аутентификация пользователей в Active Directory или другом LDAP каталоге, запросы сведений о пользователях и компьютерах каталоге LDAP
TCP/443	Coordinator, Data-cluster	S3 совместимое хранилище	HTTPS	Выполнение архивирования накопленных событий
TCP/1433	JDBC Receiver	Источник логов СУБД MS SQL	MS SQL	Доступ к базе данных MS SQL для сбора логов
TCP/1521	JDBC Receiver	Источник логов СУБД Oracle	Oracle database default listener	Доступ к базе данных Oracle для сбора логов
TCP/3306	JDBC Receiver	Источник логов СУБД MySQL	MySQL	Доступ к базе данных MySQL для сбора логов
TCP/5432	JDBC Receiver	Источник логов СУБД PostgreSQL	PostgreSQL	Доступ к базе данных PostgreSQL для сбора логов
TCP/82	IOC-Watcher	Источник TI фидов на базе MISP	HTTPS	Доступ к TI платформе MISP для загрузки индикаторов компрометации
TCP/443 TCP/80	IOC-Watcher	Источник TI фидов (файл)	HTTP\ HTTPS	Доступ к источникам TI фидов внешних поставщиков
TCP/514 UDP/514	Источник событий Syslog	Syslog Receivers	SYSLOG	Доступ к источникам событий, направляющих по протоколу syslog
UDP/162	Источник событий SNMP	SNMP Receivers	SNMP	Доступ к источникам событий, направляющих по протоколу SNMP
UDP/2055 UDP/2056	Источник netflow	Netflow Receivers	Netflow	Доступ к источникам netflow
TCP/5985	Источники Windows event forwarding	WEC Receivers	HTTP\ HTTPS	Доступ к источникам событий Windows с использованием WEF

Перечислены стандартные порты. Платформа допускает изменение стандартных портов подключения.