Жизненный цикл IoC
Скрипт remove_expired_ioc.py обеспечивает обслуживание сроков действия индикаторов и восстановление IoC с дашборда корзины.
Автоматическое обслуживание базы
Задача SCRIPT - Threat Intelligence - LifeTime IoC запускается каждые 10 минут. При каждом запуске скрипт:
- Переносит IoC с истекшим сроком действия из активной базы в корзину
- Удаляет перенесенные IoC из активной базы
- Окончательно удаляет индикаторы, хранящиеся в корзине более 30 суток
Чтобы включить автоматическое обслуживание, откройте Планировщик задач - Список задач, найдите SCRIPT - Threat Intelligence - LifeTime IoC и включите задачу. Результаты запусков доступны в планировщике, состояние базы — на дашбордах модуля.
Восстановление индикатора
На дашборде корзины найдите индикатор и нажмите Восстановить. После этого индикатор вернется в активную базу с новым сроком действия 90 суток.
Для проверки откройте блок Восстановленные IoC на дашборде активной базы.
Установка и проверка
Установите скрипт на узлах выполнения задач SME по пути:
/app/opensearch/utils/threat_intelligence/remove_expired_ioc.py
Команды выполняются от имени root. В примере используется учетная запись SME opensearch:opensearch; укажите учетную запись вашей установки.
mkdir -p /app/opensearch/utils/threat_intelligence/logs
cp /tmp/remove_expired_ioc.py /app/opensearch/utils/threat_intelligence/remove_expired_ioc.py
chown root:opensearch /app/opensearch/utils/threat_intelligence
chmod 0750 /app/opensearch/utils/threat_intelligence
chown root:opensearch /app/opensearch/utils/threat_intelligence/remove_expired_ioc.py
chmod 0640 /app/opensearch/utils/threat_intelligence/remove_expired_ioc.py
chown opensearch:opensearch /app/opensearch/utils/threat_intelligence/logs
chmod 0750 /app/opensearch/utils/threat_intelligence/logs
Настройте подключение к OpenSearch:
| Параметр | Значение |
|---|---|
| Адрес OpenSearch | https://localhost:9200 на узле выполнения скрипта. |
| Файл учетных данных | /app/opensearch/config/environment. |
| Переменные учетных данных | OPENSEARCH_USER, OPENSEARCH_PASSWORD. |
| Сертификат CA | /app/opensearch/config/ca-cert.pem. |
| Активная база | threat_intelligence_database_ioc. |
| Корзина | threat_intelligence_recycle_bin. |
Учетной записи выполнения предоставьте права на чтение файла environment и сертификата CA, а также на запись в каталог журналов. Пользователю OpenSearch предоставьте права на чтение, перенос, запись и удаление документов в индексах модуля. При изменении общего файла environment сохраните параметры остальных компонентов.
В задаче укажите запрос:
| script intr=python3 "/app/opensearch/utils/threat_intelligence/remove_expired_ioc.py"
Задайте расписание задачи: */10 * * * *.
После установки включите задачу и проверьте результат очередного запуска в планировщике. Для проверки восстановления используйте действие Восстановить на дашборде корзины и найдите возвращенный индикатор в активной базе.
Журнал работы
Журнал расположен по пути:
/app/opensearch/utils/threat_intelligence/logs/threat_intelligence_recycle_bin.log
Для просмотра последних сообщений выполните:
tail -n 100 /app/opensearch/utils/threat_intelligence/logs/threat_intelligence_recycle_bin.log
Время сообщений — UTC. Журнал ротируется ежедневно; сохраняются семь архивных файлов.