Сценарии запуска ретроспективного анализа трафика
Сценарий запуска ретроспективного анализа трафика вручную
Сценарий запуска ретроспективного анализа трафика вручную включает следующие этапы:
- Установка компонента Central Node для ретроспективного анализа трафика, если он не был установлен ранее.
- Добавление и включение точки мониторинга, если она не была добавлена и включена ранее.
Точка мониторинга должна быть только одна.
- Загрузка PCAP-файла в веб-интерфейс Kaspersky Anti Targeted Attack Platform.
- Запуск воспроизведения трафика.
- Изучение результатов анализа трафика.
- Очистка результатов анализа трафика.
Если вы хотите воспроизвести несколько PCAP-файлов подряд без очистки результатов, вам требуется загружать PCAP-файлы в порядке их записи с учетом сегментов сети, чтобы избежать искажения результатов анализа.
Сценарий автоматического запуска ретроспективного анализа трафика
Сценарий автоматического запуска ретроспективного анализа трафика включает следующие этапы:
- Установка компонента Central Node для ретроспективного анализа трафика, если он не был установлен ранее.
- Добавление и включение точки мониторинга, если она не была добавлена и включена ранее.
Точка мониторинга должна быть только одна.
- Включение автоматического анализа трафика.
- Добавление коннектора типа Generic для загрузки PCAP-файлов из внешней системы в Kaspersky Anti Targeted Attack Platform.
Этот коннектор используется для соединения с внешней системой, из которой передаются PCAP-файлы.
- Загрузка PCAP-файла в веб-интерфейс Kaspersky Anti Targeted Attack Platform с помощью NDR API.
Максимальная скорость загрузки файлов – 200 Мбит/с.
Пример команды для автоматизации загрузки файлов с заданной скоростью:
curl -X POST --location <serverURI из файла metadata.json>/v4/retrospective -H “Authorization: Bearer <токен аутентификации>" -F "fileName=<имя PCAP-файла>" -F "file=@<полный путь к PCAP-файлу>" -s --limit-rate 20M --connect-timeout 30 --max-time 600 -k
Подробнее о том, как получить файл metadata.json и токен, см. в разделе Получение токена аутентификации для автоматизации загрузки PCAP-файлов.
После загрузки в систему файлы помещаются в специальное хранилище. Вы можете настроить параметры этого хранилища.
- Изучение результатов анализа трафика.
- Очистка результатов анализа трафика.
Если вы хотите воспроизвести несколько PCAP-файлов подряд без очистки результатов, вам требуется загружать PCAP-файлы в порядке их записи с учетом сегментов сети, чтобы избежать искажения результатов анализа.
