Перейти к основному содержимому

Резервное копирование и восстановление

СУС позволяет создавать резервные копии конфигурации и данных системы и восстанавливать систему из ранее созданных копий. Операции выполняются через веб-интерфейс NTA eSensor (см. раздел «Резервное копирование» этой документации).

Создание резервной копии​

Для создания резервной копии следует выполнить следующие действия:

  • открыть страницу резервного копирования в веб-интерфейсе СУС;

  • при необходимости включите сохранение PCAP-файлов. По умолчанию эта настройка выключена;

  • запустите создание резервной копии;

  • не покидайте страницу до завершения подготовки архива;

  • после успешного формирования архива его скачивание начнется автоматически.

Резервная копия создается в формате tar.gz. Имя файла по умолчанию формируется по шаблону: esensor-backup-yyyy-mm-dd-hh-mm.tar.gz

Дата и время определяются по системному времени машины СУС.

В архив включаются:

  • настройки сенсоров, заданные через веб-интерфейс;

  • настройки и содержимое групп правил;

  • настройки и содержимое баз GeoIP;

  • настройки и содержимое индикаторов компрометации;

  • сохраненные фильтры;

  • уведомления по фильтрам и их настройки;

  • SSH-ключи пользователей;

  • настройки СУС, включая конфигурационный файл;

  • учетные записи пользователей;

  • PCAP-файлы, если их сохранение было включено перед созданием копии.

Если подготовить архив не удалось, операция прекращается и в веб-интерфейсе отображается сообщение об ошибке.

Восстановление из резервной копии​

Восстановление допускается только на стенде, структура которого соответствует исходному стенду:

  • используется тот же набор сенсоров;

  • сохранены имена узлов (hostname), на которых установлены компоненты системы.

Для восстановления системы следует:

  • открыть страницу восстановления в веб-интерфейсе СУС;

  • выбрать файл резервной копии на локальном компьютере;

  • отправить файл на СУС;

  • дождаться загрузки, проверки и применения резервной копии;

  • после успешного завершения перезапустить службу СУС, чтобы применить изменения;

  • проверить доступность СУС, подключение сенсоров и наличие восстановленных настроек и данных.

Данные, не входящие в состав резервной копии, при восстановлении не изменяются.

При ошибке восстановление немедленно прекращается. Уже примененные изменения автоматически не отменяются. Перед повторной попыткой необходимо устранить причину ошибки и проверить состояние системы.

Восстановление копии баз данных IoC или GeoIP​

Если резервная копия была создана при отсутствии загруженных данных IoC, после восстановления вручную создайте каталоги refs и objects для каждой соответствующей группы датасета:

mkdir -p /var/opt/echelon/ids-backend/repositories/dataset_*/refs
mkdir -p /var/opt/echelon/ids-backend/repositories/dataset_*/objects

где * - номер группы датасета, для которого не загружены IoC.

Если в копии отсутствовали данные GeoIP, аналогично создайте каталоги для каждой соответствующей группы GeoIP:

mkdir -p /var/opt/echelon/ids-backend/repositories/geoip_group_*/refs
mkdir -p /var/opt/echelon/ids-backend/repositories/geoip_group_*/objects

где * - номер группы датасета, для которого не загружены данные GeoIP.

Восстановление данных на новой сборке​

При установке новой сборки и последующем восстановлении данных из резервной копии сертификаты из прежней системы могут вызвать ошибки. Чтобы не заменять сертификаты новой сборки, до загрузки копии следует удалить из архива следующие каталоги (pauthCA, tlsCertKey, tlsTrustedCA).

После изменения архива следует убедиться, что резервная копия сохранена в формате tar.gz и имеет допустимую структуру.

После восстановления следует выполнить следующие действия:

  • перезапустить службу СУС;

  • отключить сенсоры от СУС;

  • повторно добавить каждый сенсор по токену;

  • проверить состояние подключения сенсоров и обмен данными с СУС.

Последнее обновление