Установка программы

Подготовка к установке

Перед проведением установки NTA eSensor необходимо выполнить следующие действия:

получить комплект NTA eSensor в установленном порядке;
получить доступ к автоматизированному рабочему месту (далее – АРМ) установленным порядком;
включить АРМ в соответствии с эксплуатационной документацией на него;
произвести проверку комплектности в соответствии с «Проверка комплектности»;
после успешного проведения проверок необходимо перейти к установке NTA eSensor «Установка».

Проверка комплектности

Проверка комплектности NTA eSensor производится сравнением комплектности предъявленного оператору экземпляра NTA eSensor с комплектностью, указанной в формуляре поставляемым с продуктом.

Выбор точек и технологии захвата трафика

Перед установкой eSensor необходимо выбрать точки захвата трафика – места в сети организации, трафик в которых необходимо анализировать.

Рекомендуется выбирать точки захвата на основе того, насколько может быть полезен для оператора анализ трафика, захватываемого из данной точки, и какие будут затраты на оборудование – чем больше трафика захватывается, тем более производительное оборудование потребуется для его анализа.

Для захвата трафика используются специализированные TAP-устройства, а также технология зеркалирования (дублирования) трафика с сетевых интерфейсов коммутаторов – SPAN.

Пример сети с точками захвата трафика

Далее на примере сети организации, включающей сегменты, встречающиеся во многих сетях, показаны возможные точки захвата трафика с кратким описанием особенностей захвата и анализа трафика из данных точек.

На рисунке 2 представлена схема сети организации, включающая следующие сегменты:

две локальные подсети (LAN), в которые могут входить, например, рабочие компьютеры сотрудников, IP-телефоны, IP-камеры видеонаблюдения, принтеры и сканеры;
локальные сервисы, например, прокси-сервер, DNS-сервер и файловое хранилище;
демилитаризованная зона (DMZ), в которую могут входить, например, веб-сервер и почтовый сервер организации.

Конечные узлы объединены в подсети коммутаторами уровня доступа, которые, в свою очередь, подключены к межсетевому экрану (далее – МЭ) с функциями маршрутизатора. МЭ также обеспечивает соединение внутренних узлов с интернетом.

Схема сети организации

Рис. 2 – Схема сети организации

Захват трафика с интерфейсов МЭ

Через WAN-интерфейс МЭ проходит весь трафик между узлами сети организации и интернетом (точка 1 на рис. 2). Захват и анализ трафика из данной точки позволяет обнаруживать вредоносный трафик, идущий из интернета, в том числе ту его часть, которая направлена на сам МЭ. Кроме того, в случае компрометации МЭ здесь можно обнаружить обмен данными между ним и внешними узлами.

Однако захват трафика из этой точки имеет два недостатка. Во-первых, при использовании на МЭ технологии NAT, при захвате не будут видны внутренние IP-адреса узлов внутренней сети, так как здесь они будут заменены на внешний адрес. Это сильно затрудняет определение, с каким именно узлом внутренней сети связан трафик. Во-вторых, захват только из этой точки не позволит выявлять вредоносный трафик внутри сети организации.

Дополнительный захват трафика с LAN-интерфейсов МЭ (точки 2, 3, 4 и 5 на рис. 2) решает эти проблемы. Однако для уменьшения объема анализируемого трафика стоит оценить, нужно ли захватывать весь трафик, идущий через данные точки, или только какую-то определенную его часть. Также для исключения дублирования захватываемого трафика рекомендуется использовать на сенсорах BPF-фильтрацию см. «Фильтрация трафика с помощью BPF».

Захват трафика DMZ

Специфика DMZ в том, что к ресурсам, расположенным на узлах этой сети, есть доступ не только из внутренней, но и из внешней сети. Это повышает вероятность атак на данные узлы, поэтому контроль входящего и исходящего из DMZ трафика точка 2 на рис. 2 может быть полезен.

Если необходимо контролировать трафик только конкретных узлов DMZ, для этого подойдет точка 6 на рис. 2. Трафик, которым обмениваются узлы DMZ между собой, можно контролировать только из этой точки.

Захват трафика локальных сервисов

Локальные сервисы, как правило, являются критически важными активами, поэтому потенциально может быть очень полезно контролировать трафик между узлами с ними и другими узлами организации в точке 3 на рис. 2.

Если необходимо контролировать трафик только конкретных узлов с локальными сервисами, для этого подойдет точка 7 на рис. 2. Трафик, которым обмениваются узлы локальных сервисов между собой, можно контролировать только из этой точки.

Захват трафика узлов LAN

В локальных сетях, в которых находятся рабочие места сотрудников, потенциально может быть большое количество узлов – как правило, это зависит от размера самой организации. Захват и анализ всего трафика из этих подсетей в точках 4 и 5 на рис. 2 может быть очень затратен и при этом не всегда целесообразен. Стоит рассмотреть захват только некоторой части данного трафика, представляющей наибольший интерес, или захватывать трафик только определенных узлов точки 8 и 9 на рис. 2. Как и в случае с DMZ и локальными сервисами, трафик между узлами внутри LAN 1 можно контролировать только из точки 8 на рис. 2, а LAN 2 – из точки 9 на рис. 2.

Выбор схемы развертывания

Перед установкой eSensor необходимо выбрать схему развертывания – состав выделенных под нее машин, а также то, как должны быть распределены по ним ее модули.

Установка eSensor выполняется с использованием ролей – логических объединений модулей eSensor, выполняющих вместе определенный набор функций.

Всего есть две роли:

«Sensor». В данную роль входят:
сенсоры;
сервер контроля целостности сенсоров;
модуль отправки уведомлений по электронной почте.
Server. В данную роль входят: СУС, сервер контроля целостности СУС, сервер аутентификации, СУБД «Echelongres» и «ClickHouse». Совокупно компоненты данной роли обеспечивают возможности работы с регистрируемыми данными о сетевом трафике, управление сенсорами и хранение данных, поступающих от сенсоров, управление учетными записями пользователей.

Можно выделить две типовые схемы развертывания.

Схема развертывания (рис. 3) заключается в установке модулей обеих ролей совместно на одну машину. Данная схема подходит для обработки сетевого трафика на относительно невысокой скорости.

Для обработки сетевого трафика на больших скоростях рекомендуется использовать схему с разделением ролей: схема развертывания (рис. 4) заключается в установке модулей роли «server» на одну машину (машина 1), а сенсоров (роль «sensor») – отдельно, на другую машину (машина 2) или несколько других машин (машин 2-n). На одной машине может быть развернут один или несколько сенсоров.

Схема развертывания при установке на одну машину

Рис. 3 – Схема развертывания при установке на одну машину

Схема развертывания при установке на несколько машин

Рис. 4 – Схема развертывания при установке на несколько машин

Подготовка дисковой подсистемы

Перед установкой NTA eSensor необходимо подготовить дисковую подсистему машин, на которых планируется размещение компонентов изделия, в соответствии с аппаратными требованиями и выбранной схемой развертывания.

В процессе работы NTA eSensor использует дисковое пространство для следующих целей:

размещение операционной системы и программных компонентов NTA eSensor;
хранение метаданных сетевых сессий и атак в СУБД ClickHouse;
хранение копий сетевого трафика в формате PCAP;
хранение файлов, извлеченных из сетевого трафика.

Для указанных целей могут использоваться отдельные физические диски, дисковые массивы или разделы дисков.

Если для хранения данных планируется использовать отдельные диски или разделы, перед установкой NTA eSensor необходимо:

Подготовить соответствующие диски или разделы и создать на них файловые системы.
Создать каталоги, которые будут использоваться в качестве точек монтирования.
Смонтировать файловые системы подготовленных дисков или разделов в соответствующие каталоги.
Настроить автоматическое монтирование файловых систем при загрузке операционной системы, например с использованием файла /etc/fstab.
Убедиться, что файловые системы успешно смонтированы и доступный объем дискового пространства соответствует требованиям.

Внимание! Данные СУБД ClickHouse хранятся в каталоге /var/lib/clickhouse. Если для хранения метаданных сетевого трафика планируется использовать отдельный диск или раздел диска, до установки NTA eSensor необходимо убедиться, что указанный каталог существует, а файловая система соответствующего диска или раздела смонтирована в него.

Каталоги для хранения PCAP-файлов и извлеченных из трафика файлов задаются в настройках соответствующих модулей сенсора после установки NTA eSensor. При использовании отдельных дисков или разделов для этих данных необходимо заранее подготовить соответствующие файловые системы и точки монтирования.

После установки NTA eSensor необходимо убедиться, что используемые каталоги доступны соответствующим программным компонентам для чтения и записи.

Примечание. Если отдельные диски или разделы для хранения данных не используются, дополнительная настройка точек монтирования не требуется. При этом необходимо обеспечить достаточный объем свободного пространства на используемых файловых системах.

Установка

На всех машинах, на которые будет производиться установка модулей eSensor, и на машине, с которой будет производиться установка, необходимо задать в файле /etc/hosts IP-адреса и названия машин, на которые необходимо установить модули eSensor.

Внимание! Перед установкой необходимо удостовериться, что выполнены все аппаратные и программные требования (аппаратные и программные требования к системе).

Установка осуществляется из-под учетной записи пользователя ОС, обладающего правами администратора, т. е. входящего в группу пользователей (astra-admin). Установка из-под учетной записи «root» не допускается.

Примечание. Удаление eSensor также осуществляется из-под данной учетной записи (см. «Удаление программы»).

Все шаги установки выполняются во встроенном системном терминале «Fly» ОС специального назначения Astra Linux (далее – терминал) машины, с которой необходимо произвести установку.

Шаг 1. Установка необходимых библиотек

Для установки следует выполнить следующие действия:

Выполнить команды:

sudo apt update
sudo astra-update -A -r -T
sudo apt install -y --no-install-recommends ansible python3-netaddr python3-requests sshpass apache2-utils

Шаг 2. Распаковка архива eSensor и подготовка файла лицензии

Необходимо выполнить следующие действия:

Скопировать архив с дистрибутивом eSensor в любой каталог;

Примечание. Архив имеет название: esensor-v<Номер версии>.tar.gz, например, esensor-v1.0.51.tar.gz

Перейти в директорию с архивом;
Распаковать архив, выполнив команду: tar -xvf <Название архива>;
Скопировать файл лицензии production.lic в распакованную папку: esensor

Шаг 3. Настройка Ansible

Установка eSensor выполняется с использованием системы автоматизированного управления конфигурациями Ansible и установочного скрипта esensor.sh, входящего в состав дистрибутива.

На данном шаге настраивается, на какие машины необходимо установить модули eSensor, а также задаются настройки подключения к данным машинам.

Необходимо выполнить следующие действия:

Перейти в каталог esensor, созданный при распаковке на предыдущем шаге и выполнить команду: cd esensor;
Открыть файл hosts.yml (рис. 5) и указать в нем, какие модули системы и на какие машины необходимо установить: nano hosts.yml;

Структура файла hosts.yml при установке на одну машину

Рис. 5 – Структура файла hosts.yml при установке на одну машину

В блоке настроек all.children.hosts необходимо задать настройки установки:

сервера аутентификации, СУС, СУБД «Echelongres», «ClickHouse», а также
SQLite:

<server_hostname>;
<server_user>;
<server_user_password>.

сенсоров (all.children.esensor_sensors.hosts):

<sensors_hostname>;
<sensors_user>;
<sensors_user_password>.

Примечание. В стандартных конфигурациях Astra Linux SE 1.8.5 пароль для входа по SSH и пароль для выполнения административных команд (sudo) совпадают. Поэтому в полях ansible_password и ansible_become_password следует указать один и тот же пароль пользователя, от имени которого производится установка.

Внимание! Пользователи <server_user>, <sensors_user> должны обладать правами администратора на своих машинах (находиться в группе пользователей astra-admin), при этом указание суперпользователя «root» не допускается. Пароли пользователей <server_user_password> и <sensors_user_password> необходимо вводить в двойных кавычках (").

На одну машину можно установить один или несколько сенсоров. В блоке настроек all.children.esensor_sensors.hosts.<sensors_hostname>.sensors необходимо задать настройки установки каждого сенсора:

<port> – сетевой порт, который будет использоваться установленным сенсором для связи с другими модулями eSensor. Указываемый порт должен быть уникальным для каждого сенсора на машине и должен быть не занят;
<iface> – название сетевого интерфейса, трафик которого должен анализировать сенсор;
<name> – уникальное имя устанавливаемого сенсора. Сенсоры можно устанавливать на несколько разных машин. Для этого в блоке настроек all.children.esensor_sensors.hosts необходимо задать настройки установки сенсоров на каждой машине (см. пример настройки ниже).

Внимание! Максимальное допустимое количество сенсоров, которые можно установить и подключить к СУС, определяется используемой лицензией. Файл с лицензией уже присутствует среди установочных файлов и будет определен при установке автоматически, дополнительных действий не требуется.

Пример полной настройки при установке СУС на одну машину и сенсоров на вторую машину:

all:
  children:
    # Настройки установки серверной части: СУС, сервера аутентификации, сервера контроля целостности СУС, а также ClickHouse, Echelongres и SQLite
    esensor_server:
      hosts:
        astra-esensor-server:
          ansible_user: "user0"
          ansible_password: "password0"
          ansible_become_password: "password0"
# Настройки установки сенсоров, модуля отправки уведомлений по электронной почте и сервера контроля целостности сенсоров
    esensor_sensors:
      hosts:
        astra-esensor-sensors1:
          ansible_user: "user0"
          ansible_password: "password0"
          ansible_become_password: "password0"
          sensors:
            - port: 7110
              iface: enp0s3
              name: "sensor1"
            - port: 7111
              iface: enp0s4
              name: "sensor2"
        astra-esensor-sensors2:
          ansible_user: "user1"
          ansible_password: "password1"
          ansible_become_password: "password1"
          sensors:
            - port: 7110
              iface: enp0s3
              name: "sensor3"
            - port: 7111
              iface: enp0s4
              name: "sensor4"
  vars:
    ansible_connection: ssh
    ansible_ssh_common_args: '-o StrictHostKeyChecking=no'

В данном примере заданы следующие настройки:

СУС, сервер аутентификации, ClickHouse, Echelongres и SQLite устанавливаются на машину astra-esensor-server от имени пользователя user0 с паролем password0;
два сенсора будут установлены на машину astra-esensor-sensors1 от имени пользователя user0 с паролем password0;
два сенсора будут установлены на машину astra-esensor-sensors2 от имени пользователя user1 с паролем password1. сенсоры машины astra-esensor-sensors1 будут доступны на соответствующих портах 7110, 7111 и будут выполнять захват и анализ трафика сетевых интерфейсов enp0s3 и enp0s4;
сенсоры машины astra-esensor-sensors2 будут доступны на соответствующих портах 7110, 7111 и будут выполнять захват и анализ трафика сетевых интерфейсов enp0s3 и enp0s4.

После завершения ввода настроек необходимо сохранить изменения в файле.

Имя для сенсоров по умолчанию формируется по шаблону (если не задано наименование пользователем): <sensors_hostname>:<port>, где:

<sensors_hostname> - имя узла;
<port> - порт сенсора (пример: astra-esensor-sensors1:7116).

Шаг 4. Запуск установочного скрипта

Необходимо выполнить следующие действия:

находясь в распакованном каталоге esensor, выполнить команду: ./esensor.sh install;
после ввода последней команды начнется выполнение установочного скрипта;
далее необходимо задать желаемый пароль учетной записи администратора eSensor и подтвердить его. Сообщение с запросом на ввод пароля выглядит следующим образом:

При установке в eSensor будет создан пользователь с логином root, обладающий правами администратора.
Необходимо задать для него пароль.
Введите пароль:

Внимание! При задании пароля допустимо использовать строчные и прописные буквы латинского и кириллического алфавита, цифры, а также специальные символы.

Минимальная длина пароля составляет 8 символов, максимальная длина 32 символа.

Успешное выполнение установочного скрипта завершается сообщением PLAY RECAP с последующим перечислением, на какие машины были установлены модули eSensor, и текущей машиной (127.0.0.1), при этом у всех машин unreachable=0 и failed=0. Пример сообщения показан на рис. 6.

Пример завершения установки без ошибок

Рис. 6 – Пример завершения установки без ошибок

Если число unreachable или failed для какой-либо из перечисленных машин больше нуля, это означает, что в процессе выполнения установочного скрипта произошли ошибки (рис. 7). В таком случае необходимо исправить ошибки и перезапустить установочный скрипт.

Пример завершения установки с ошибками

Рис. 7 – Пример завершения установки с ошибками

Примечание. Большинство сообщений об ошибках, отображаемых в терминале в процессе выполнения установочного скрипта, начинаются со слова failed или fatal. Пример сообщения об ошибке:

failed: [127.0.0.1] (item=) => {"changed": true, "cmd": "ping -c1 -W10 sensorss-asta", "delta": "0:0ensors", "msg": "non-zero return code", "rc": 1, "start": "2025-01-28 14:49:13.996667", "stderr": "", "stderr_lines":data.\nFrom esensor-server (192.168.1.102) icmp_seq=1 Destination Host Unreachable\n\n--- sensorss-asta ping statisoss, time 0ms", "stdout_lines": ["PING esensor-sensors (192.168.1.101) 56(84) bytes of data.", "From esensor-server (nsor-sensors ping statistics ---", "1 packets transmitted, 0 received, +1 errors, 100% packet loss, time 0ms"]}

Рекомендуется сохранять каталог esensor со всем его содержимым до тех пор, пока не потребуется удалить eSensor (см. «Удаление программы»).

Учетные записи по умолчанию

Во время установки eSensor будут созданы учетные записи по умолчанию, которые представлены в таблице 3.

Таблица 3 – Учетные записи по умолчанию

Роль	Логин	Пароль
Администратор сервера аутентификации и администратор СУС (используется для входа в веб-интерфейс eSensor)	root	Пароль, заданный в процессе установки на шаге «Шаг 4. Запуск установочного скрипта» (см. «Шаг 4. Запуск установочного скрипта»)
Пользователь ClickHouse для управления данными eSensor	root	Пароль, заданный в процессе установки на шаге «Шаг 4. Запуск установочного скрипта» (см. «Шаг 4. Запуск установочного скрипта»)
Пользователь Echelongres для управления данными eSensor	root	Пароль, заданный в процессе установки на шаге «Шаг 4. Запуск установочного скрипта» (см. «Шаг 4. Запуск установочного скрипта»)
Администратор Echelongres	postgres	Без пароля

Первоначальная настройка

После установки eSensor необходимо произвести его первоначальную настройку.

Подключение к веб-интерфейсу и первичная проверка системы

Для подключения к веб-интерфейсу сервера управления сенсорами и проверки состояния системы выполните следующие действия:

запустить веб-браузер;
в адресной строке ввести: https://<Адрес_СУС>:7100

где <Адрес_СУС> – сетевой адрес сервера управления сенсорами;

дождаться отображения страницы входа в веб-интерфейс СУС;
ввести имя пользователя root и пароль, заданный при установке системы, затем выполнить вход.
перейти в раздел «Администрирование» → «Сенсоры».
убедится, что все установленные сенсоры отображаются в таблице и имеют состояние, подтверждающее успешное подключение к СУС.
проверить глобальный индикатор состояния системы, расположенный в правом верхнем углу веб-интерфейса:
индикатор «» означает, что система работает штатно;
«» или «» индикатор указывает на наличие предупреждений или ошибок.
если индикатор имеет жёлтый или красный цвет, нажмите на него. В открывшемся окне «Последние проблемы» проверьте представленные сообщения:
сообщение «Нестабильная работа в прошлом», появившееся при первом запуске системы, не свидетельствует о текущей неисправности; закройте его нажатием на значок крестика;
при наличии других сообщений ознакомьтесь с их содержанием и устраните указанные причины.

Первичная проверка считается успешно завершённой, если все установленные сенсоры подключены к СУС, глобальный индикатор имеет зелёный цвет и в окне «Последние проблемы» отсутствуют активные сообщения об ошибках.

Базовая настройка регистрации сессий

Сенсоры анализируют поступающий сетевой трафик по протоколам и регистрируют сведения о сессиях – сетевых взаимодействиях между узлами сети. Эти сведения используются для выявления признаков вредоносной активности, расследования атак и получения информации о происходящих в сети событиях.

Регистрацию сетевых сессий выполняет модуль сенсора «Сессии».

После установки необходимо произвести базовую настройку регистрации сессий:

настроить интерфейс захвата трафика в ОС сенсора (см. «Настройка интерфейса захвата трафика»);
убедиться, что на настроенный интерфейс физически поступает сетевой трафик (например, через SPAN/TAP);
убедиться, что сенсор видит трафик и регистрирует сессии:
перейти в Дашборды → Сессии;
установить значение фильтра по времени "Последний час" и обновить данные;
убедиться, что на дашборде появилась информация о сессиях.

Чтобы проверить, есть ли сессии от какого-то определенного сенсора, можно отфильтровать информацию конкретно по этому сенсору. Для этого необходимо воспользоваться строкой фильтрации и задать фильтр по атрибуту sensor.name.

Например, чтобы просмотреть информацию о сессиях от сенсора sensor1, необходимо задать и применить фильтр sensor.name == "sensor1".

Настройка интерфейса захвата трафика

Для корректной работы модулей анализа сенсора необходимо подготовить интерфейс захвата трафика:

включить неразборчивый режим (promisc);
установить значение MTU, подходящее под размер анализируемых пакетов;
отключить аппаратную оптимизацию (Offloading), чтобы сенсор получал пакеты в оригинальном виде;
максимизировать кольцевой буфер приема (RX Ring Buffer) для защиты от потери пакетов.

Настройки производятся на машине с сенсором.

Редактирование конфигурации

выполнить команду sudo nano /etc/network/interfaces;
добавить следующие настройки для интерфейса захвата (в данном примере – enp1s0f0).

auto enp1s0f0
iface enp1s0f0 inet manual
    #
    # КОНФИГУРАЦИЯ ИНТЕРФЕЙСА ЗАХВАТА ТРАФИКА
    #
    # --- Инициализация ---
    # 1. Установка максимального размера кадра (MTU).
    # Значение 9000 необходимо для захвата Jumbo Frames.
    # Для мониторинга сетей без Jumbo Frames допускается использование MTU 1500.
    up ip link set dev $IFACE mtu 9000
    # 2. Перевод интерфейса в активное состояние и включение неразборчивого
    # режима (Promiscuous mode) для приема полного потока данных со SPAN/TAP-устройства.
    up ip link set dev $IFACE up
    up ip link set dev $IFACE promisc on
    # --- Оптимизация драйвера сетевой карты ---
    # 3. Отключение аппаратной и программной оптимизации трафика (Offloading).
    # Предотвращает склеивание, фрагментацию и пересчет контрольных сумм на уровне сетевой карты.
    # Гарантирует передачу пакетов на уровень анализатора в оригинальном виде.
    post-up /sbin/ethtool -K $IFACE rx off tx off sg off gro off lro off gso off tso off
    # 4. Адаптивное увеличение кольцевого буфера приема (RX Ring Buffer).
    # Скрипт определяет аппаратно поддерживаемый максимум карты и применяет его.
    # Критически важно для защиты от потери пакетов (Hardware Drops) при микро-всплесках трафика.
    post-up MAX_RX=$(/sbin/ethtool -g $IFACE 2>/dev/null | awk '/Pre-set maximums:/{f=1} f && /^RX:/{print $2; exit}'); if [ -n "$MAX_RX" ] && [ "$MAX_RX" -eq "$MAX_RX" ] 2>/dev/null; then /sbin/ethtool -G $IFACE rx $MAX_RX; fi
    # --- Корректное завершение (Деинициализация) ---
    # Снятие режима прослушки, возврат стандартного MTU и выключение интерфейса
    # при остановке или перезапуске сетевой службы.
    down ip link set dev $IFACE promisc off
    down ip link set dev $IFACE mtu 1500
    down ip link set dev $IFACE down

сохранить изменения в файле;
чтобы изменения вступили в силу, выполнить команду:

sudo systemctl restart networking.

Базовая настройка обнаружения атак

Далее необходимо настроить сигнатурный анализ – основной механизм обнаружения вредоносной активности в NTA eSensor. Сигнатурный анализ заключается в проверке сетевого трафика по специальным правилам. Каждое правило предписывает сенсору сопоставлять трафик с определенной сигнатурой (паттерном) известной вредоносной или потенциально опасной активности. Сигнатурный анализ осуществляет одноименный модуль сенсора.

Для базовой настройки сигнатурного анализа необходимо:

Настроить на сенсоре группу узлов HOME_NET.
Настроить использование правил.

Настройка группы узлов HOME_NET

Группа узлов HOME_NET – это переменная, которая определяет, какие узлы модуль сигнатурного анализа должен относить к "домашней" сети (то есть узлы, которые нужно считать принадлежащими в инфраструктуре организации). По умолчанию в данную группу входят все узлы из подсетей 192.168.0.0/16, 10.0.0.0/8 и 172.16.0.0/12.

Если в инфраструктуре используются иные адреса/подсети, необходимо изменить множество узлов, входящих в HOME_NET.

Для этого нужно:

перейти в Администрирование→ Сенсоры→ Сенсор→ Сигнатурный анализ → Группы узлов;
нажать по строке с именем "HOME_NET";
задать необходимое значение группы HOME_NET (поле "Узлы"). Можно указывать конкретные IP-адреса или подсети;
нажать кнопку "Сохранить";
для применения изменений система автоматически инициирует перезапуск модуля сигнатурного анализа;
необходимо дождаться перезапуска модуля и убедиться, что он перейдет в состояние "Работает". Текущее состояние модуля можно просмотреть, например, на вкладке "Общие настройки" страницы "Сигнатурный анализ".

Настройка использования правил

Для сигнатурного анализа необходимы специальные правила формата suricata 8.0.

Настройка использования правил осуществляется в два этапа:

Настройка группы правил на СУС.
Загрузка группы правил на сенсор.

Настройка группы правил

Для работы с решающими правилами в eSensor используется механизм групп правил.

Группа правил – это объединение множества правил, получаемых из одного источника. Правила могут быть загружены в группу следующими способами:

из источника правил;
из архива;
созданием непосредственно в самой группе.

В качестве источников правил могут выступать:

интернет-портал AM TIP (https://amtip.ru);
интернет-портал с открытым набором правил ET Open (https://rules.emergingthreats.net);
Git‑репозиторий;
FTP‑сервер;
SMB‑сервер;
другая группа правил.

Группы правил хранятся на СУС и загружаются на выбранные сенсоры.

Необходимо добавить группу правил и загрузить в нее правила.

Добавление группы правил

Чтобы добавить группу правил, необходимо:

перейти в Администрирование/Группы правил;
нажать кнопку «Добавить группу правил»;
заполнить поля формы:
заполнить имя и описание;
выбрать источник правил. Если необходимо просто загрузить правила из архива или добавить правила вручную, оставить значение «Не выбрано»;
значение поля «Классификация по умолчанию» на данном этапе можно оставить без изменения.
нажать кнопку «Сохранить»;
после сохранения группа правил появится в списке групп слева.

Загрузка правил в группу

Если при добавлении был указан источник, дополнительно автоматически начнется загрузка правил из данного источника.

Если требуется импортировать архив с правилами, необходимо:

перейти на вкладку «Правила» страницы созданной группы правил;
нажать кнопку «»;
выбрать архив с правилами и нажать кнопку «Импортировать».

Проверка выполнения обновления:

перейти на вкладку «История обновлений» страницы группы правил;
дождаться окончания обновления. При успешной загрузке статус изменится на «Завершено»;
если статус обновления изменился на «Завершено с ошибками» или «Ошибка», необходимо ознакомиться с сообщением об ошибке, устранить ее и повторно инициировать обновление группы:
нажать кнопку «Запросить обновление» на вкладке «История обновлений» в случае загрузки из источника;
повторно загрузить архив с правилами – в случае загрузки из архива.
проверить, что правила загрузились в группу:
перейти на вкладку «Правила» страницы группы правил;
убедиться, что в таблице появились записи о загруженных правилах.

Загрузка правил на сенсор

Далее необходимо подключить сенсор к группе правил, чтобы он начал применять входящие в неё правила.

Подключение сенсора к группе правил:

Для загрузки группы правил на сенсор необходимо добавить сенсор в таблицу сенсоров группы правил. Для этого необходимо:

перейти на вкладку «Сенсоры» страницы группы правил;
нажать кнопку «»;
выбрать сенсор и нажать кнопку «Добавить»;
после добавления сенсора в группу начнется автоматическая загрузка правил на него;
наличие индикатора загрузки (анимированной иконки «» в столбце «Обновить правила» в строке с информацией о подключенном сенсоре в таблице на вкладке «Сенсоры» означает, что в данный момент идет процесс загрузки на него правил группы;
необходимо дождаться, когда анимированная иконка пропадет и на экране появится уведомление «Обновлено успешно».

Проверка успешности применения правил

Для проверки успешности применения правил выполните следующие действия:

проверить состояние глобального индикатора здоровья;
если индикатор зеленый – все в порядке;
если индикатор красный или желтый – кликнуть по нему. Откроется окно «Последние проблемы». При наличии сообщения с заголовком «Сигнатурный анализ», кликнуть по заголовку-ссылке. Откроется вкладка «Логи» модуля сигнатурного анализа сенсора. Изучить сообщения в таблице. При наличии критических проблем, связанных с правилами, необходимо устранить их, повторно загрузить правила в группу и на сенсор;
сигнатурный анализ настроен.

Дальнейшие действия после первоначальной настройки

Первоначальная настройка завершена, и система готова к выполнению основных функций. Перед переходом к промышленной эксплуатации рекомендуется выполнить следующие действия:

Создать персональные учетные записи администраторов (см. «Сервер аутентификации»). Учетная запись root является системной и используется компонентами для взаимодействия с СУС. Для повседневной работы и корректного ведения журнала аудита используйте именные учетные записи. Данные учетной записи root следует хранить в защищенном месте и использовать только для аварийного восстановления доступа.
Настроить автоматическое обновление групп правил и их синхронизацию с сенсорами (см. «Группы правил»).
При необходимости изменить период хранения сведений о сессиях и атаках. По умолчанию данные хранятся в течение 14 дней (см. «Хранение данных об атаках и сессиях»).
После завершения настройки создать резервную копию системы (см. «Резервное копирование и восстановление»).
Ознакомиться с другими разделами настоящего документа, чтобы настроить дополнительные возможности системы.

Подготовка к установке​

Проверка комплектности​

Выбор точек и технологии захвата трафика​

Пример сети с точками захвата трафика​

Захват трафика с интерфейсов МЭ​

Захват трафика DMZ​

Захват трафика локальных сервисов​

Захват трафика узлов LAN​

Выбор схемы развертывания​

Подготовка дисковой подсистемы​

Установка​

Шаг 1. Установка необходимых библиотек​

Шаг 2. Распаковка архива eSensor и подготовка файла лицензии​

Шаг 3. Настройка Ansible​

Шаг 4. Запуск установочного скрипта​

Учетные записи по умолчанию​

Первоначальная настройка​

Подключение к веб-интерфейсу и первичная проверка системы​

Базовая настройка регистрации сессий​

Настройка интерфейса захвата трафика​

Редактирование конфигурации​

Базовая настройка обнаружения атак​

Настройка группы узлов HOME_NET​

Настройка использования правил​

Настройка группы правил​

Добавление группы правил​

Загрузка правил в группу​

Загрузка правил на сенсор​

Дальнейшие действия после первоначальной настройки​

Подготовка к установке

Проверка комплектности

Выбор точек и технологии захвата трафика

Пример сети с точками захвата трафика

Захват трафика с интерфейсов МЭ

Захват трафика DMZ

Захват трафика локальных сервисов

Захват трафика узлов LAN

Выбор схемы развертывания

Подготовка дисковой подсистемы

Установка

Шаг 1. Установка необходимых библиотек

Шаг 2. Распаковка архива eSensor и подготовка файла лицензии

Шаг 3. Настройка Ansible

Шаг 4. Запуск установочного скрипта

Учетные записи по умолчанию

Первоначальная настройка

Подключение к веб-интерфейсу и первичная проверка системы

Базовая настройка регистрации сессий

Настройка интерфейса захвата трафика

Редактирование конфигурации

Базовая настройка обнаружения атак

Настройка группы узлов HOME_NET

Настройка использования правил

Настройка группы правил

Добавление группы правил

Загрузка правил в группу

Загрузка правил на сенсор

Дальнейшие действия после первоначальной настройки