Внимание! |
Для использования функции записи трафика, СОВ должен быть сконфигурирован как both или sensor. |
Весь полученный трафик хранится на сенсорном узле, на котором был записан.
По умолчанию файлы расширением .pcap сохраняются в директорию /opt/arkime/raw.
Для успешной записи трафика на сенсоре должен быть запущен сервис arkimecapture.
Для отображения трафика в веб-интерфейсе, используется сервис arkimeviewer.
Также должен быть обеспечен сетевой доступ с настраиваемого сенсорного узла к сервису elasticsearch, запущенного на системе управления.
Для настройки записи трафика выполните ряд следующих действий:
Шаг 1: Чтобы полученный трафик с узлов в сети, в которой располагаются СОВ, отображался в веб-интерфейсе системы управления, необходимо выполнить один из следующих вариантов настроек:
• На СОВ, являющимся системой управления (сконфигурированный как both или control), необходимо в файле /etc/hosts указать соответствие имени хоста управляемого узла и его ip-адреса, например:
11.0.0.2 stids_sensor1
• На СОВ, являющимся системой управления, должно быть разрешение на получение ip-адреса управляемого узла по его имени хоста (hostname) с помощью средств протокола DNS.
Шаг 2: Откройте веб-интерфейс СОВ. Далее необходимо внести изменения в конфигурационный файл /opt/arkime/etc/config.ini управляемого узла, используя перенастроенный шаблон «Конфигурационый_файл_Arkime», задав значения параметрам:
elasticsearch={{.elasticsearch_uri}}
interface={{.interface}}
maxFileSizeG = {{.max_file_size_gb}}
freeSpaceG = {{.free_space_g}}
Для этого перейдите во вкладку Настройки - Параметры, на странице Параметры шаблонов конфигурационных файлов отредактируйте значения параметров:
• elasticsearch_uri - базовый URL (например, http://11.0.0.1:9200), по которому доступен elasticsearch на системе управления. Адрес должен быть идентичен тому, что задавался при добавлении узла, при выполнении скрипта configure_ids.sh (см. «Подключение дополнительных сенсорных узлов»);
• interface - системное имя сетевого интерфейса, с которого будет осуществляться запись трафика;
Для записи трафика с нескольких интерфейсов необходимо указать системные имена этих интерфейсов через точку с запятой (;). Например, для интерфейсов eth0 и eth1 в конфигурационном файле /opt/arkime/etc/config.ini параметру interface присвоить следующее значение:
interface=eth0;eth1
Для этого в веб-интерфейсе СОВ перейдите во вкладку Настройки - Шаблоны. Отредактируйте шаблон «Конфигурационый_файл_Arkime», прописав в параметре interface имена интерфейсов в явном виде, как в примере выше. Либо измените данный шаблон таким образом, чтобы параметру interface было возможно присвоить необходимое количество интерфейсов:
interface={{.interface}};{{.interface2}}
Более подробное описание работы с шаблонами представлено в разделе «Работа с конфигурационными файлами СОВ через веб-интерфейс».
• max_file_size_gb - максимальный размер файла хранения трафика в ГБайт. На диске должно быть место для хранения 11 файлов такого размера, на 10 записанных и 1 записываемый;
• free_space_g - процент общего объёма жесткого диска, оставляемый свободным от сохраняемого трафика.
Скорость, с которой будет заполняться память жесткого диска, напрямую зависит от объёма проходящего трафика. От сохраняемого трафика рекомендуется оставлять 10% и более свободного пространства диска. Крайне не рекомендуется указывать значение меньшее 5%.
Шаг 3: Трафик, классифицируемый СОВ как инцидент, в веб-интерфейсе системы управления во вкладке Аналитика - Arkime может быть отмечен с записью сигнатуры. Для этого на узле, являющимся сенсором, должен быть запущен сервис arkimecapture и stids-suricata. Также необходимо убедиться, что для сервиса stids-suricata в его конфигурационном файле /etc/suricata/suricata.yaml присутствуют следующие настройки по умолчанию:
- eve-log:
enabled: yes
filetype: regular
filename: eve.json
types:
- alert:
Шаг 4: Перейдите на кладку Узлы и нажмите кнопку Применить изменения для всех узлов.