Kaspersky Anti Targeted Attack Platform

Подключение и настройка внешнего хранилища для компонента Sensor

Kaspersky Anti Targeted Attack Platform сохраняет трафик, полученный от сетевых интерфейсов, в виде файлов дампа сетевого трафика. Если вы хотите обеспечить долговременное хранение файлов дампа сетевого трафика, вы можете подключить и настроить внешнее хранилище. Файлы дампа сетевого трафика, хранящиеся во внешнем хранилище, можно использовать для выгрузки сетевого трафика в файлы формата PCAP. В качестве внешнего хранилища рекомендуется использовать SSD-диски.

Чтобы подключить и настроить внешнее хранилище для файлов дампа сетевого трафика на сервере с установленными компонентами Sensor и Central Node:

1. Подключите диск, который будет использоваться в качестве внешнего хранилища, объемом не менее 100 ГБ.
2. Перейдите в режим Technical Support Mode.
3. Выполните команды:

   sudo -i

   fdisk -l

   Убедитесь, что диск, подключенный для использования в качестве внешнего хранилища, отобразился в консоли.

4. Выполните команды:

   mke2fs -t ext4 -L DATA -m 0 /dev/<имя подключенного диска>

   sudo nano etc/fstab

   Откроется файл fstab в текстовом редакторе.

5. Добавьте в конец файла запись:

   /dev/<имя подключенного диска> /data/volumes/dumps/ ext4 defaults 0 0

6. Закройте текстовый редактор.
7. Выполните команды:

   mount

   rm -r /data/volumes/dumps/*

   В результате выполнения команд с подключенного диска будут удалены все данные.

   Подключенный диск будет настроен для использования в качестве внешнего хранилища.

8. Выполните команды:

   chown kluser:klusers /data/volumes/dumps/

   ls -lah /data/volumes/dumps/

   lsblk

   Убедитесь, что напротив имени подключенного диска в столбце MOUNTPOINTS отображается значение /data/volumes/dumps.

9. Выполните команды:

   docker stop $(docker ps | grep preprocessor_span | awk '{print $1}')

   docker ps | grep preprocessor_span

   Дождитесь, когда в консоли появится статус Up 2 seconds.

10. Выполните команды:

    docker exec -it $(docker ps | grep preprocessor_span | awk '{print $1}') bash

    lsblk

    Убедитесь, что напротив имени подключенного диска в столбце MOUNTPOINTS отображается значение /mnt/kaspersky/nta/dumps.

11. В окне веб-интерфейса приложения выберите раздел Серверы Sensor.
12. Наведите курсор мыши на карточку нужного компонента Sensor и нажмите на нее левой кнопкой мыши.

    Откроется окно с информацией о компоненте.

13. Нажмите на кнопку Изменить.
14. Перейдите на вкладку Внешнее хранилище и включите режим использования внешнего хранилища с помощью переключателя Подключить внешнее хранилище для файлов дампа трафика.
15. Задайте ограничение занимаемого объема для хранения файлов дампа трафика в блоке параметров Максимальный объем.

    Вы можете выбрать единицу измерения для ограничения объема: МБ или ГБ.

16. При необходимости в блоке Фильтрация с использованием BPF включите фильтрацию и введите выражение для фильтрации с использованием технологии BPF (Berkley Packet Filter). Для написания выражения фильтрации BPF используется формат libpcap. Подробнее об описании синтаксиса см. в Руководстве pcap-filter.
17. При необходимости в блоке Ограничение времени хранения включите ограничение на минимальное время хранения файлов и укажите нужное количество дней для хранения.
18. Нажмите на кнопку Сохранить.

Внешнее хранилище для файлов дампа сетевого трафика на сервере с установленными Sensor и Central Node будет подключено и настроено.

Чтобы подключить и настроить внешнее хранилище для файлов дампа сетевого трафика на отдельном сервере с установленным компонентом Sensor:

1. Подключите диск, который будет использоваться в качестве внешнего хранилища, объемом не менее 100 ГБ.
2. Перейдите в режим Technical Support Mode.
3. Выполните команды:

   sudo -i

   fdisk -l

   Убедитесь, что диск, подключенный для использования в качестве внешнего хранилища, отобразился в консоли.

4. Выполните команды:

   mke2fs -t ext4 -L DATA -m 0 /dev/<имя подключенного диска>

   sudo nano etc/fstab

   Откроется файл fstab в текстовом редакторе.

5. Добавьте в конец файла запись:

   /dev/<имя подключенного диска> /data/volumes/dumps/ ext4 defaults 0 0

6. Закройте текстовый редактор.
7. Выполните команду:

   rm -r /data/volumes/dumps/*

   В результате выполнения команд с подключенного диска будут удалены все данные.

8. В окне веб-интерфейса приложения выберите раздел Серверы Sensor.
9. Наведите курсор мыши на карточку нужного компонента Sensor и нажмите на нее левой кнопкой мыши.

   Откроется окно с информацией о компоненте.

10. Нажмите на кнопку Изменить.
11. Перейдите на вкладку Внешнее хранилище и включите режим использования внешнего хранилища с помощью переключателя Подключить внешнее хранилище для файлов дампа трафика.
12. Задайте ограничение занимаемого объема для хранения файлов дампа трафика в блоке параметров Максимальный объем.

    Вы можете выбрать единицу измерения для ограничения объема: МБ или ГБ.

13. При необходимости в блоке Фильтрация с использованием BPF включите фильтрацию и введите выражение для фильтрации с использованием технологии BPF (Berkley Packet Filter). Для написания выражения фильтрации BPF используется формат libpcap. Подробнее об описании синтаксиса см. в Руководстве pcap-filter.
14. При необходимости в блоке Ограничение времени хранения включите ограничение на минимальное время хранения файлов и укажите нужное количество дней для хранения.
15. Нажмите на кнопку Сохранить.

Внешнее хранилище для файлов дампа сетевого трафика на отдельном сервере с установленным компонентом Sensor будет подключено и настроено.