Файлы конфигурации KOMRAD Enterprise SIEM
Не все возможности и настройки KOMRAD Enterprise SIEM вынесены в графический интерфейс, некоторые пока что остаются в конфигурационных файлах сервисов и дополнены комментариями разработчиков.
В данном разделе с такими возможностями KOMRAD можно ознакомиться более подробно.
В папке /etc/echelon/komrad/ находятся файлы с расширением .default, это эталонные файлы сервисов, в случае если вы
не можете больше использовать стандартный конфиг или хотите вернуть все настройки по умолчанию используйте его путём
переименования.
Основные сведения о настройки файлов конфигурации KOMRAD:
📄️ Диспетчер корреляции
Сервис SIEM, отвечающий за организацию корреляции. Позволяет добавлять, редактировать, просматривать, удалять директивы корреляции. Выполняет функции контроллера корреляторов, он их запускает, останавливает, наблюдает за ними.
📄️ Менеджер инцидентов
Сервис SIEM, отвечающий за работу с инцидентами. Регистрирует новые инциденты, полученные от корреляторов. Хранит инциденты, позволяет их просматривать, редактировать и удалять.
📄️ Интеграционная шина KOMRAD
Старые файлы с логами не удаляются, необходимо производить мониторинг использования диска
📄️ KOMRAD-процессор
📄️ KOMRAD-реактор
Реактор - сервис SIEM, выполняющий реакцию на инциденты. Реакция задаётся пользовательскими скриптами. Скрипты могут быть на любом языке, поддерживаемом операционной системой. Реактор позволяет работать с неограниченным количеством скриптов реакции и запускает скрипт реакции до записи инцидента, получая прямой сигнал от коррелятора, при этом не учитываются правила агрегации инцидентов.
📄️ KOMRAD-сканер
Сканер предназначен для управления актива ми и включает в себя следующие модули:
📄️ KOMRAD-сервер
📄️ Сервер аутентификации
📄️ WAF-PROXY
Сервис SIEM, отвечающий за организацию корреляции. Позволяет добавлять, редактировать, просматривать, удалять директивы корреляции. Выполняет функции контроллера корреляторов, он их запускает, останавливает, наблюдает за ними.