Основной алгоритм работы

Основной алгоритм работы eSensor включает следующие этапы:

1. Сенсоры захватывают поступающий сетевой трафик;

2. Выполняется разбор трафика по протоколам и регистрируется информация о сетевых взаимодействиях (сессиях) (см. примечание 1);

3. Трафик анализируется на наличие вредоносной активности, с использованием сигнатурных и эвристических методов (см. примечание 2). В ходе анализа могут быть зарегистрированы атаки и уведомления об аномальной активности.

4. Производится запись и сохранение копии сетевого трафика. Записанный трафик можно экспортировать в формате PCAP, а также направить на повторную проверку – это может быть полезно, например, для обнаружения новых атак после обновления базы решающих правил;

5. Осуществляется отправка информации о регистрируемых событиях ИБ в SIEMсистему.

Примечания:

1. Перечень протоколов, с использованием которых сенсоры регистрируют сессии, приведён в «Разбор сетевых протоколов».
2. Сигнатурный анализ – заключается в проверке заголовков протоколов и содержимого сетевых пакетов на соответствие заранее определённым сигнатурам с применением решающих правил. Эвристический анализ – позволяет выявлять аномальное поведение в сетевом трафике посредством различных эвристических алгоритмов. Этот метод применяется в случаях, когда для обнаружения атаки отсутствуют соответствующие сигнатуры.

eSensor поддерживает решающие правила, синтаксис которых соответствует Suricata 8.0.3. Описание возможностей по управлению правилами приведено в «Вкладка «Группы правил»».