Управление уведомлениями
В eSensor предусмотрен механизм формирования уведомлений о событиях, требующих внимания администратора. Уведомления формируются в следующих случаях:
- при выполнении условий, заданных пользователем на основе сохраненных фильтров, например при превышении установленного количества сетевых сессий, зарегистрированных атак или объема переданного трафика за определенный промежуток времени;
- при обнаружении ARP-сканирования модулем эвристического анализа.
Все сформированные уведомления регистрируются в журнале уведомлений eSensor, доступном через веб-интерфейс системы. Журнал предназначен для просмотра и обработки уведомлений. Пользователь может искать и фильтровать записи, отмечать их как просмотренные или непросмотренные, добавлять комментарии и просматривать статистическую информацию.
Уведомления отображаются в порядке убывания даты и времени их формирования: новые записи располагаются в начале списка.
Настройка уведомлений производится через веб-интерфейс системы; описание представлено в разделе «Уведомления».
Примечание. Регистрация атаки модулем сигнатурного анализа Suricata сама по себе не приводит к формированию уведомления. Уведомление создается при выполнении соответствующего условия, настроенного пользователем.
Настройка ротации журнала уведомлений
СУС автоматически удаляет уведомления, срок хранения которых истёк.
Настройки ротации задаются в конфигурационном файле:
/opt/echelon/ids-backend/config.yaml
Для настройки очистки используются параметры, представленные в таблице 12:
Таблица 12 – Параметры ротации журнала уведомлений
| Параметр | Назначение | Допустимое значение | Значение по умолчанию |
|---|---|---|---|
| notices.delete-older-than | Максимальный срок хранения уведомлений | от 1m до 10y | 14d |
| notices.check-schedule | Расписание запуска очистки | Выражение cron | 0 1 * * * |
При значении 0 автоматическая ротация журнала уведомлений отключается. В этом случае уведомления сохраняются до их удаления другим способом.
Значение notices.delete-older-than задаёт возраст уведомлений, после достижения которого записи удаляются из журнала.
Параметр notices.check-schedule задаёт периодичность проверки журнала в формате cron. Значение по умолчанию 0 1 * * * означает ежедневный запуск очистки в 01:00.
Если параметры явно не заданы, система использует значения по умолчанию: хранение уведомлений в течение 14 дней и ежедневная очистка в 01:00.
Во время запуска очистки система сравнивает возраст каждой записи со значением notices.delete-older-than. Уведомления, срок хранения которых превышен, удаляются из журнала.
После изменения параметров необходимо сохранить конфигурационный файл и перезапустить службу СУС, чтобы новые настройки вступили в силу:
sudo systemctl restart ids-backend
После перезапуска необходимо убедиться, что служба работает без ошибок:
sudo systemctl status ids-backend --no-pager