Рекомендации для режима обработки событий на основе TCP

Kaspersky CyberTrace должен быть активирован по коммерческой лицензии в режиме обработки событий по протоколу TCP. Мерой производительности служит максимальное количество событий в секунду (EPS), которое Kaspersky CyberTrace может обработать при данной конфигурации оборудования.

Тестирование Kaspersky CyberTrace в этом режиме выполнялось на тестовом наборе со следующими параметрами, которые могут влиять на EPS:

• Коммерческие потоки данных включены.
  • APT Hash Data Feed
  • APT IP Data Feed
  • APT URL Data Feed
  • Botnet C&C URL Data Feed
  • ICS Hash Data Feed
  • IP Reputation Data Feed
  • IoT URL Data Feed
  • Malicious Hash Data Feed
  • Malicious URL Data Feed
  • Mobile Botnet C&C URL Data Feed
  • Mobile Malicious Hash Data Feed
  • Phishing URL Data Feed
  • Ransomware URL Data Feed
• Количество индикаторов составляет 4,4 миллиона.
• Средняя длина события составляет 225 символов.
• Каждое событие содержит по 4 индикатора средней длиной 30 символов.

  В случае более длинных индикаторов фактическая производительность может снизиться.

• Коэффициент обнаружения составляет 0,05%.
• Потоки данных обновляются раз в час.
• Регулярное выражение для парсинга событий взято из шаблона для ArcSight или прочих SIEM-систем.
• Настроены 1 тенант и 1 источник.
• Запись в журнал отключена.
• Предоставление данных в Kaspersky Security Network отключено.
• Экспорт индикаторов отключен.
• Формирование отчетов отключено.
• Использование TLS для входящих событий отключено.

Рекомендуемая конфигурация и расчетное значение EPS различаются в зависимости от того, включено ли ретроспективное сканирование.

Режим обработки событий на основе TCP без ретроспективного сканирования

В этом режиме ретроспективное сканирование отключено.

Минимальные требования и расчетные значения EPS приведены в таблице ниже.

Требования к оборудованию без ретроспективного сканирования

Режим обработки событий на основе TCP с ретроспективным сканированием

В этом режиме ретроспективное сканирование включено. Обратите внимание: если включено ретроспективное сканирование, необходимо выделить часть логических процессоров для обработки ретроспективных данных. Выделение логических процессоров для обработки входящих событий и данных ретроспективного сканирования также может влиять на EPS.

Минимальные требования и расчетные значения EPS приведены в таблице ниже.

Требования к оборудованию с ретроспективным сканированием