Перейти к основному содержимому
Версия: 4.3.58

Конфигурация KOMRAD-реактора

Реактор - сервис SIEM, выполняющий реакцию на инциденты. Реакция задаётся пользовательскими скриптами. Скрипты могут быть на любом языке, поддерживаемом операционной системой. Реактор позволяет работать с неограниченным количеством скриптов реакции и запускает скрипт реакции до записи инцидента, получая прямой сигнал от коррелятора, при этом не учитываются правила агрегации инцидентов.

Для редактирования конфигурационного файла выполните команду:

sudo nano /etc/echelon/komrad/komrad-reactor.yaml
### schema: komrad/komrad-reactor/4.1.33


# Реактор — сервис SIEM, выполняющий реакцию на инциденты. Реакция задаётся пользовательскими скриптами.
# Скрипты могут быть на любом языке, поддерживаемым операционной системой. Реактор позволяет работать
# с неограниченным количеством скриптов реакции и запускает скрипт реакции до записи инцидента, получая
# прямой сигнал от коррелятора, при этом не учитываются правила агрегации инцидентов.

# Настройка адреса для прослушивания входящих соединений по протоколу HTTP.
ListenHTTP: 127.0.0.1:3440
# Настройка адреса для прослушивания входящих соединений по протоколу gRPC
ListenGRPC: 127.0.0.1:3441
# Путь к директории, куда будут попадать логи скриптов реакции.
# Логи представляют из себя текстовые файлы собранного вывода stdout и stderr, названия файлов соответствуют названиям
# файлов скриптов реакции.
LoggingDirectory: /var/log/echelon/komrad/komrad-reactor
# Директория скриптов реакции.
# Пожалуйста, при добавлении нового скрипта, не забывайте указать для него интерпретатор.
ScriptDirectory: /opt/echelon/komrad/komrad-reactor/scripts
# Интерпретаторы для скриптовых файлов. Указываются в формате «ключ: значение», где ключ — расширение скриптового файла,
# а значение — команда для запуска интерпретатора, которая может содержать аргументы.
Interpreters:
  bash: /usr/bin/bash
  lua: /usr/bin/lua
  py: /usr/bin/env python3
  sh: /bin/sh
# Настройки вывода логов приложения.
# Сервис может отправлять логи сразу в несколько целей -- файл, системный журнал ОС, консоль, syslog.
# Включить вывод логов в консоль для режима отладки приложения
#  - filename: stdout
#    format: color
#    filter: ""
#    levels: [all]
# Включить вывод логов в файл с ротацией.
# ВАЖНО: старые файлы с логами не удаляются, необходимо производить мониторинг использования диска.
# - filename: "/var/log/echelon/komrad/service.log"
#   format: json
# возможно задать выражение для фильтрации выводимых логов
#   filter: ""
#   levels: [info, error, warn, panic, fatal]
log:
- filename: systemd/journal
  format: json
  filter: ""
  levels:
  - info
  - error
  - panic
  - fatal
  - warn
осторожно

Старые файлы с логами не удаляются, необходимо производить мониторинг использования диска

Последнее обновление