Архитектура и компоненты
eSensor имеет модульную структуру, функционал модулей реализуется набором служб операционной системы. Сведения о структуре eSensor представлены в таблице 1.
Таблица 1 – Структура NTA eSensor
| Компонент eSensor | Служба | Порт по умолчанию | Комментарий |
|---|---|---|---|
| Сенсор | ids-sensor@<port> | <port> – назначается при установке | где <port> – порт, по которому по умолчанию доступен сенсор |
| Сервер аутентификации | pauth-server | 2020 и 2021 | 2020 – HTTP 2021 – gRPC |
| Сервер управления сенсорами | ids-backend | 7100 и 7102 | 7100 – UI, API, 7102 – GIT |
| СУБД «ClickHouse» | clickhouse-server | 8443 и 9440 | 8443 – порт HTTPS API |
| СУБД «Echelongres» | echelongres-postgresql | 5432 | – |
| Сервер контроля целостности | integrity-server | 2101 | – |
| Модуль отправки уведомлений по электронной почте | ids-smtp-sender | 8025 | – |
Под «машиной» понимается автоматизированное рабочее место и/или электронно-вычислительная машина (ЭВМ), используемая пользователем eSensor.
Каждый сенсор состоит из набора подмодулей, которые реализуют различные функции:
-
модуль регистрации сессий, обеспечивающий регистрацию информации о сетевых сессиях;
-
модуль сигнатурного анализа, обеспечивающий обнаружение вредоносной активности с использованием специальных правил;
-
модуль эвристического анализа, обеспечивающий извлечение файлов, передаваемых в сесси, регистрацию метаданных различных сетевых протоколов сессий, а также обнаружение ARP-сканирований;
-
модуль отправки событий, обеспечивающий отправку данных об атаках, регистрируемых сенсорами, в СУБД «ClickHouse» и внешние системы.
Сервер аутентификации предназначен для управления доступом к eSensor.
Сервер управления сенсорами (далее – СУС) предназначен для управления сенсорами и настройки их конфигурации, управления базой правил сигнатурного анализа и хранилищем PCAP-файлов.
СУБД «ClickHouse» используется для хранения метаинформации о сетевых сессиях и атаках, регистрируемой сенсорами.
СУБД «Echelongres» используется для хранения данных сервера управления сенсорами и сервера аутентификации.
Сервер контроля целостности предназначен для контроля состояния файлов компонентов NTA eSensor.
Модуль отправки уведомлений по электронной почте предназначен для автоматического информирования пользователей о важных событиях в системе.
Рис. 1 – Структурная схема NTA eSensor