Подменю «Сигнатурный анализ»

Управление модулем сигнатурного анализа сенсора осуществляется на странице «Администрирование» → «Сенсоры» → выбор сенсора →

→ «Сигнатурный анализ».

Подменю «Сигнатурный анализ» карточки сенсора представлен на (рис. 49).

Рис. 49 – Вкладка Общие настройки сигнатурного анализа

Подменю «Сигнатурный анализ» состоит из следующих функциональных вкладок:

1. Вкладка «Общие настройки» (см. рис. 49) – предназначена для просмотра и изменения настроек модуля сигнатурного анализа сенсора;

2. Вкладка «Группы узлов» (см. рис. 50) – предназначена для отображения информации о группах узлов. Группы узлов – инструмент eSensor, позволяющий объединять активы исследуемой сети в группы, для которых применяются решающие правила. У каждого сенсора есть набор групп узлов по умолчанию. При необходимости можно изменять существующие группы, удалять их или добавлять новые;

3. Вкладка «Группы портов» (см. рис. 53) – аналогично вкладке «Группы узлов» предназначена для отображения информации о группах портов. У каждого сенсора есть набор групп портов по умолчанию. При необходимости можно изменять существующие группы, удалять их или добавлять новые;

4. Вкладка «Ограничение срабатываний» (см. рис. 56) – предназначена для управления количеством оповещений, формируемых правилами сигнатурного анализа;

5. Вкладка «Продвинутые настройки» (см. рис. 57) – позволяет просмотреть информацию об используемой группе правил, настроить автообновление правил, а также использовать продвинутые настройки;

6. Вкладка «Логи» (см. рис. 46) – предназначена для отображения системного журнала модуля сигнатурного анализа сенсора eSensor.

Вкладка «Общие настройки» подменю «Сигнатурный анализ»

Вкладка «Общие настройки» подменю «Сигнатурный анализ» представляет возможность задавать настройки модуля, описанные в таблице Таблица 4.

Таблица 4 – Настройки модуля сигнатурного анализа

Поле	Описание	Пример
Включить	Изменение переключателя позволяет включать или выключать модуль.
Используемая группа правил	Позволяет настроить применяемые правила. При нажатии на кнопку «» происходит переход на страницу «Группы правил» («Вкладка «Группы правил»»).	Правила не используются
Автообновление правил	Настройка автообновления правил:; Не обновлять автоматически;; Обновлять после любых изменений в группе;; Обновлять по заданному расписанию.	Не обновлять автоматически
BPF-фильтр	Позволяет задать BPF-фильтр. Модуль будет анализировать только тот трафик, который удовлетворяет фильтру.	not host 10.0.0.5
Проверять контрольные суммы пакетов	Модуль должен проверять контрольные суммы пакетов. Если с контрольной суммой пакета будет обнаружена проблема, модуль должен прекратить анализ данного пакета.
Уровень детализации логов	Уровень детализации записей в системном журнале модуля сигнатурного анализа (вкладка «Логи»).; Возможные значения:; − «Ошибки»;; − «Предупреждения»;; − «Оповещения»;; − «Информирование»;; − «Производительность»;; − «Конфигурация»;; − «Отладка»	Информирование

Вкладка «Группы узлов» подменю «Сигнатурный анализ»

Вкладка «Группы узлов» подменю «Сигнатурный анализ» представлена на (рис. 50).

Рис. 50 – Вкладка Группы узлов сигнатурного анализа

Для создания группы узлов необходимо нажать кнопку «», заполнить поля появившейся формы (рис. 51) и нажать «Сохранить».

Рис. 51 – Форма создания группы узлов

Форма создания группы узлов состоит из полей, указанных в таблице Таблица 5.

Таблица 5 – Поля формы создания группы узлов

Поле	Описание	Пример
Имя	Имя группы	HOME_NET
Узлы	Узлы, которые должны быть включены в группу.	10.0.5.0/24

Для редактирования группы узлов необходимо выполнить следующие действия:

• перейти к карточке группы узлов (рис. 52), нажать по строке с информацией о данной группе;

• внести требуемые изменения в поля карточки;

• нажать «Сохранить».

Рис. 52 – Форма редактирования группы узлов

Для удаления группы узлов необходимо выбрать группу узлов, которую требуется удалить, установив флаг выделения «» и нажать кнопку «».

Вкладка «Группы портов» подменю «Сигнатурный анализ»

Вкладка «Группы портов» подменю «Сигнатурный анализ» представлена на (рис. 53).

Рис. 53 – Вкладка Группы портов сигнатурного анализа

Для создания группы портов необходимо нажать кнопку «», заполнить поля появившейся формы (рис. 54) нажать «Сохранить».

Рис. 54 – Форма создания группы портов

Форма создания группы портов состоит из полей, указанных в таблице Таблица 6.

Таблица 6 – Поля формы создания группы портов

Поле	Описание	Пример
Имя	Имя группы	HOME_NET
Порты	Порты, которые должны быть включены в группу	10.5.4.0/26

Для редактирования группы портов необходимо перейти к карточке группы (рис. 55) нажав по строке с информацией о данной группе, внести требуемые изменения в полях карточки и нажать «Сохранить».

Рис. 55 – Карточка группы портов

Для удаления группы портов необходимо выбрать группу, которую требуется удалить, установив флаг выделения «» в строке с информацией о данной группе, нажать кнопку «».

Вкладка «Ограничение срабатывания» подменю «Сигнатурный анализ»

Вкладка «Ограничение срабатываний» (рис. 56) предназначена для управления количеством оповещений, формируемых правилами сигнатурного анализа.

Описание по настройке ограничений срабатывания представлено в «Ограничение срабатываний оповещений, формируемых правилами Suricata».

Рис. 56 – Вкладка Ограничение срабатывания сигнатурного анализа

Вкладка «Продвинутые настройки» подменю «Сигнатурный анализ»

Во вкладке «Продвинутые настройки» подменю «Сигнатурный анализ» (рис. 57) представлены параметры, позволяющие детально настроить работу модуля, адаптировав его под конкретные задачи и предпочтения пользователя.

Рис. 57 – Вкладка Продвинутые настройки сигнатурного анализа

Настройка «Используемые группы правил» позволяет просмотреть правила, применённые к сенсору. Описание и настройка групп правил представлена в «Вкладка «Группы правил»».

Для настройки автообновления правил необходимо выполнить следующие действия:

• щелкнуть по элементу управления «»;

• в появившемся окне (рис. 58) выбрать требуемый параметр;

• нажать «Сохранить».

Рис. 58 – Настройка автообнолвения правил

Активированное поле «Использовать продвинутые настройки» позволяет установить дополнительные пользовательские параметры (рис. 57). Описание представлено в «Управление правилами».

Внимание! Некорректно заданные настройки могут привести к ошибкам в работе модуля.

В eSensor ведется системный журнал (Вкладка «Логи» подменю «Сигнатурный анализ») модуля сигнатурного анализа. Функционирование аналогично разделу «Логи» регистрации сессий («Подменю «Регистрация сессий»»).