Подменю «Эвристический анализ»

Подменю «Эвристический анализ» карточки сенсора представлено на (рис. 59).

Рис. 59 – Подменю Эвристический анализ карточки сенсора

Подменю «Эвристический анализ» состоит из следующих функциональных вкладок:

• вкладка «Общие настройки» (см. рис. 59) – предназначена для просмотра и редактирования основных настроек модуля эвристического анализа сенсора.

• вкладка «Извлечение и хранение файлов» (см. рис. 60) – предоставляет возможность задать параметры хранения файлов;

• вкладка «Продвинутые настройки» (см. рис. 62) – предоставляет возможность задать расширенные пользовательские настройки модуля эвристического анализа;

• вкладка «Логи» (см. рис. 46) – данная вкладка предназначена для отображения системного журнала модуля эвристического анализа eSensor.

Вкладка «Общие настройки» подменю «Эвристический анализ»

Вкладка «Общие настройки» подменю «Эвристический анализ» (рис. 59) предоставляет возможность задавать настройки модуля, описанные в таблице 7.

Таблица 7 – Настройки эвристического модуля

Поле	Описание	Пример
Состояние модуля	Описывает в каком состоянии находится модуль.
Включить	Изменение переключателя позволяет включать или выключать сенсор.
Разбор протоколов	Настройка позволяет определять перечень сетевых протоколов прикладного уровня (а также SSL/TLS), метаданные которых необходимо регистрировать в сессиях. Для экономии аппаратных ресурсов рекомендуется отключать разбор протоколов, метаданные которых не требуется регистрировать.	DNS, SSH, SSL/TLS
BPF-фильтр	Позволяет задать BPF-фильтр. Модуль будет анализировать только тот трафик, который удовлетворяет фильтру.	not host 10.4.6.7
Проверять контрольные суммы пакетов	Модуль должен проверять контрольные суммы пакетов. Если с контрольной суммой пакета будет обнаружена проблема, модуль должен прекратить анализ данного пакета.	-
Уровень детализации логов	Уровень детализации записей в системном журнале модуля (вкладка «Логи»).; Возможные значения (по возрастанию уровня детализации):; − «Ошибки»;; − «Предупреждения»;; − «Оповещения».	Информирование

Вкладка «Извлечение и хранение файлов» подменю «Эвристический анализ»

Вкладка «Извлечение и хранение файлов» подменю «Эвристический анализ» (рис. 60) предоставляет возможность задать параметры извлечения (анализа) и хранения файлов, передаваемых в сессиях. Состав и описание параметров приведены в таблице 9.

Рис. 60 – Вкладка Извлечение и хранение файлов модуля эвристического анализа

Таблица 8 – Настройки «Извлечение и хранение файлов» модуля эвристического анализа

Поле	Описание	Пример
Состояние модуля	Описывает в каком состоянии находится модуль.
Включить	Изменение переключателя позволяет включать или выключать сенсор.
Сохранять метаданные о файлах	Сохранение метаданных (название, тип, размер, хеш-сумма) извлечённых файлов. Включено/отключено.
Подсчитывать контрольные суммы извлекаемых файлов по алгоритму SHA-256	Активация подсчета контрольных сумм по алгоритму SHA-256 (контрольные суммы по MD5 и SHA-1 подсчитываются всегда). Для просмотра контрольных сумм SHA-256 извлеченных файлов необходимо включить отображение столбца с данной информацией в таблице файлов в карточке сессии. Включено/отключено.
Сохранять извлеченные файлы	При включении параметра извлечённые из трафика файлы сохраняются в хранилище. Включено/отключено.
Параметры хранения файлов	Пункт доступен только при активном флаге «Сохранять извлеченные файлы».; Параметры, определяющие место хранения и максимальный размер файла.	Папка для хранения извлеченных файлов – «/var/opt/echelon/ids-sensor-7111/zeek-extract-files»;; Макс. Размер файлов – 100Мб.
Параметры очистки хранимых файлов	Пункт доступен только при активном флаге «Сохранять извлеченные файлы».; Группа параметров, определяющих условия автоматического удаления файлов из хранилища.	Частота очистки – 5мин;; Режим очистки – Очищать по времени;; Объем для хранения – 5Гб;; Объем после очистки – 4Гб.
Фильтрация файлов по MIME-типам	Позволяет отображать только те файлы, тип которых соответствует выбранному MIME-типу.	Белый список (сохранять только указанные типы).

Настройка списков MIME-типов позволяет задать перечни типов для фильтрации файлов при извлечении из сетевого трафика.

Для настройки необходимо выполнить следующие действия:

1. Выбрать нужный список;

2. Нажать кнопку «»;

3. В появившемся окне (рис. 61) отметить требуемые типы файлов;

4. Нажать «Готово».

Кнопка «» позволяет очистить ранее выбранный список.

Кнопка сбрасывает настройки на рекомендованный список.

Рис. 61 – Настройка белых списков MIME-типов

Вкладка «Продвинутые настройки» подменю «Эвристический анализ»

Вкладка «Продвинутые настройки» подменю «Эвристический анализ» (рис. 62) предоставляет возможность задать расширенные пользовательские настройки модуля эвристического анализа. Состав и описание параметров приведены в таблице 9.

Рис. 62 – Вкладка Продвинутые настройки модуля эвристического анализа

Таблица 9 – «Продвинутые настройки» подменю «Эвристического анализа»

Поле	Описание и возможные значения	Пример
Состояние модуля	Описывает в каком состоянии находится модуль.
Включить	Изменение переключателя позволяет включать или выключать сенсор.

Активированное поле «Использовать продвинутые настройки» позволяет установить дополнительные пользовательские параметры для настройки модуля эвристического анализа (рис. 62). Описание функций настройки представлено в «ARP-сканирование».

Внимание! Некорректно заданные настройки могут привести к ошибкам в работе модуля.

В eSensor ведется системный журнал модуля эвристического анализа (Вкладка «Логи» подменю «Эвристический анализ»). Функционирование аналогично разделу «Логи» регистрации сессий («Подменю «Регистрация сессий»»).