В ARMA MC предусмотрен механизм настройки протокола TLS для криптографического шифрования канала связи.
Для перехода в подраздел меню на панели навигации необходимо выбрать раздел меню «Настройки», затем подраздел «Системные настройки».
Использование TLS позволяет передавать данные по протоколу защиты транспортного уровня TLS, обеспечивающему зашифрованную передачу данных при подключении к веб-интерфейсу ARMA MC.
Для экспорта сертификата или ключа в блоке «TLS сертификат» необходимо нажать иконку экспорта справа от сертификата или ключа безопасности (см. Рисунок – Экспорт сертификата и ключа).
Для перехода в подраздел меню на панели навигации необходимо выбрать раздел меню «Настройки», затем подраздел «Системные настройки». В раскрывающемся блоке «Аутентификация» существует возможность настраивать следующие параметры аутентификации (см. Рисунок – Аутентификация):
«Максимальное количество неудачных попыток входа в систему» – количество неудачных попыток входа в веб-интерфейс. Допустимы значения в диапазоне от 0 до 100. Значение «0» отключает ограничение на попытки входа в систему.
«Время блокировки пользователя при входе в систему» – длительность блокировки пользователя после превышения попыток входа. Задаётся значение времени, на которое будет заблокирован пользователь при достижении ограничения на неудачные попытки входа.
«Тайм-аут сессии» – время бездействия пользователя, после которого сеанс будет автоматически завершён. Рекомендуется указывать значение 15 минут и меньше.
После внесения изменений необходимо нажать кнопку «Сохранить».
Примечание
По истечении времени, указанного в поле параметра «Время блокировки пользователя при входе в систему», пользователю снова будет доступна аутентификация в веб-интерфейсе. Администратор может досрочно разблокировать пользователя, изменив его статус в карточке пользователя, как это описано в параграфе Управление УЗ настоящего руководства.
При бездействии пользователя в течение времени, указанного в поле «Тайм-аут сессии», сессия автоматически разрывается. При этом движение мыши действием не считается.
Подраздел меню «Настройки ротации» позволяет настраивать ротацию системного журнала, а также журналов инцидентов, событий и действий пользователя.
Для перехода в подраздел меню на панели навигации необходимо выбрать раздел меню «Настройки», затем подраздел «Системные настройки» (см. Рисунок – Настройки ротации).
Для всех полей доступны подсказки с дополнительной информацией. Чтобы прочитать подсказку, требуется навести мышью на значок рядом с полем.
Область Настройки ротации событий позволяет задать:
«Количество дней хранения событий в журнале» – как долго запись должна храниться в журнале;
«Количество дней хранения архива событий в хранилище» – как долго архив записей должен находиться в хранилище. Если поле не заполнено, хранилище не используется (события безвозвратно удаляются при ротации).
Область Настройки ротации инцидентов позволяет задать:
«Количество дней хранения инцидентов в журнале» – как долго запись должна храниться в журнале;
«Количество дней хранения архива инцидентов в хранилище» – как долго архив записей должен находиться в хранилище. Если поле не заполнено, хранилище не используется (инциденты безвозвратно удаляются при ротации).
Область Настройки ротации системного журнала позволяет задать:
«Количество дней хранения событий в системном журнале» – как долго запись должна храниться в журнале;
«Количество дней хранения архива системных событий в хранилище» – как долго архив записей должен находиться в хранилище. Если поле не заполнено, хранилище не используется (записи о действиях пользователя безвозвратно удаляются при ротации).
Область Настройки ротации списка действий пользователя позволяет задать:
«Количество дней хранения действий пользователя в журнале» – как долго запись должна храниться в журнале;
«Количество дней хранения архива действий пользователя в хранилище» – как долго архив записей должен находиться в хранилище. Если поле не заполнено, хранилище не используется (записи о действиях пользователя безвозвратно удаляются при ротации).
Примечание
При большом потоке событий не рекомендуется ставить слишком большое количество дней хранения в журнале, т.к. на хранение журнала будет расходоваться много дискового пространства. Это может привести к нехватке места и запуску автоматической очистки (см. Нехватка места на диске и автоматическая очистка настоящего руководства).
Признаком того, что во время ротации запускалась автоматическая очистка, будет отсутствие данных в хранилище (они удаляются в первую очередь). Если это произошло, необходимо снизить время хранения в журнале или увеличить объём дискового пространства. Если этого не сделать, с каждой последующей ротацией объём журнала будет только увеличиваться.
При указании значений, которые могут привести к ротации уже имеющихся данных, под полем выводится сообщение «Уменьшение значения может привести к частичной потере данных в журнале».
Область Экспорт файлов ротации позволяет настроить выгрузку файлов ротации (архивов) на внешний ресурс (подробнее см. Экспорт файлов ротации настоящего руководства).
Подробнее с логикой хранения можно ознакомиться далее.
Для определения продолжительности хранения записи используется только дата её создания. Часы, минуты и секунды отбрасываются. Данные за день архивируются и уже в виде архива помещаются в хранилище. В случае если «Количество дней хранения архива событий в хранилище» не задано, архивация не производится и записи безвозвратно удаляются в момент ротации.
Например, в течение дня 5 мая в журнал было добавлено 99 событий, а значение «Количество дней хранения событий в журнале» равно «5», следовательно 10 мая в 00:00 все 99 событий будут заархивированы и перемещены в хранилище.
Ротация записей системного журнала, а также записей журналов инцидентов и действий пользователя выполняется аналогично.
Примечание
Ротация производится в 00:00.
Если настройки хранения были изменены в сторону уменьшения так, что ротация каких-либо записей уже должна была произойти, записи будут обработаны при ротации в 00:00 следующего дня.
Продолжая пример из предыдущего параграфа, если «Количество дней хранения архива событий в хранилище» = «10», то архив событий будет безвозвратно удалён 20 мая в 00:00. Общее время хранения информации о событии составит 15 дней (5 в журнале и 10 в архиве).
Если «Количество дней хранения архива событий в хранилище» не задано, записи удаляются в момент ротации (согласно примеру выше – 10 мая в 00:00).
Примечание
Если поле «Количество дней хранения архива событий в хранилище» было очищено и оставлено пустым, или время хранения было уменьшено так, что имеющиеся архивы должны быть удалены, они удалятся в 00:00 следующего дня.
Ротация архивов инцидентов и действий пользователя выполняется аналогично.
Формулы расчёта дискового пространства и периодов хранения данных
Примечание
Рекомендуется зафиксировать среднее количество событий с одного устройства во время пилота. Это значение понадобится при использовании формул расчёта дискового пространства или периодов хранения данных.
Поток событий очень зависит от настроек на МЭ. Если место быстро заканчивается, рекомендуется убедиться, что все настройки на МЭ являются обязательными.
Чтобы увеличить общий срок хранения данных без больших затрат дискового пространства, рекомендуется снизить количество дней хранения в журнале и увеличить количество дней хранения в хранилище.
На объем необходимого дискового пространства влияют следующие факторы:
количество дней хранения в журнале, заданное в настройках;
количество дней хранения в хранилище, заданное в настройках;
количество событий за день;
количество системных событий за день;
количество всех действий, совершаемых всеми пользователями системы за день;
количество инцидентов.
Приведённые ниже формулы учитывают эти факторы, за исключением количества инцидентов, так как их объем сложно предсказать и он зависит от множества динамических факторов.
Указанные в формулах константы являются усреднёнными и зависят от инфраструктуры конкретного предприятия, поэтому расчёты по формулам могут отличаться от фактического потребления дискового пространства в меньшую или большую сторону.
Формула расчёта дискового пространства для одного источника или кластера
Занимаемое дисковое пространство = данные в журнале + данные в хранилище + архив ротации + системные журналы.
Данные в журнале (байт) = (событий за день * 508 + действий пользователя за день * 198 + системных событий за день * 460,82) * период хранения в журнале, заданный в настройках.
Данные в хранилище (байт) = (событий за день * 59,77 + действий пользователя за день * 22,8 + системных событий за день * 6,29) * период хранения в хранилище, заданный в настройках.
Архив ротации (байт) = событий за день * 924,69 + действий пользователя за день * 412,12 + системных событий за день * 69,02.
Системные журналы = 10 737 418 240 байт (10 ГБ).
Примечание
Системные журналы могут превышать 10 ГБ, их размер зависит от настроек ОС.
Формула расчёта дискового пространства для нескольких источников
Занимаемое дисковое пространство = данные в журнале + данные в хранилище + архив ротации + системные журналы.
Данные в журнале (байт) = (событий за день * 576,27 + действий пользователя за день * 198 + системных событий за день * 458,83) * период хранения в журнале, заданный в настройках.
Данные в хранилище (байт) = (событий за день * 61,02 + действий пользователя за день * 22,8 + системных событий за день * 33,83) * период хранения в хранилище, заданный в настройках.
Архив ротации (байт) = событий за день * 925,69 + действий пользователя за день * 412,12 + системных событий за день * 378,44.
Системные журналы = 10 737 418 240 байт (10 ГБ).
Примечание
Системные журналы могут превышать 10 ГБ, их размер зависит от настроек ОС.
Формулы расчёта периодов хранения для одного источника или кластера
Формула расчёта периода хранения в журнале, если известен период хранения в хранилище:
Количество дней хранения в журнале = (доступное дисковое пространство – данные в хранилище – системные журналы – архив ротации) / (событий за день * 508 + действий пользователя * 198 + системных событий за день * 460,82).
Формула расчёта периода хранения в хранилище, если известен период хранения в журнале:
Количество дней хранения в хранилище = (доступное дисковое пространство – данные в журнале – системные журналы – архив ротации) / (событий за день * 59,77 + действий пользователя за день * 22,8 + системных событий за день * 6,29).
Формулы расчёта периодов хранения для нескольких источников
Формула расчёта периода хранения в журнале, если известен период хранения в хранилище:
Количество дней хранения в журнале = (доступное дисковое пространство – данные в хранилище – системные журналы – архив ротации) / (событий за день * 576,27 + действий пользователя за день * 198 + системных событий за день * 458,83).
Формула расчёта периода хранения в хранилище, если известен период хранения в журнале:
Количество дней хранения в хранилище = (доступное дисковое пространство – данные в журнале – системные журналы – архив ротации) / (событий за день * 61,02 + действий пользователя за день * 22,8 + системных событий за день * 33,83).
Файлы архивов, предназначенные для удаления из хранилища в процессе ротации, можно вместо удаления сохранять на внешний ресурс, например, на внешний накопитель данных. Для этого достаточно выполнить следующие действия:
Смонтировать ресурс средствами операционной системы с учётом рекомендаций из раздела Монтирование внешнего ресурса Руководства администратора ARMA MC.
В настоящем разделе представлено описание подраздела меню «Параметры экспорта», предусматривающего механизм управления параметрами экспорта инцидентов в сторонние системы.
Для перехода в подраздел меню на панели навигации необходимо выбрать раздел меню «Настройки», затем подраздел «Параметры экспорта».
Подраздел «Параметры экспорта» позволяет просматривать информацию о получателях автоматической отправки сообщений об инцидентах в формате таблицы, состоящей из следующих столбцов (см. Рисунок – Экспорт инцидентов):
«Наименование» – наименование хоста;
«Статус» – статус пользователя («Активно»/«Неактивно»);
Подраздел меню позволяет настроить отображение столбцов таблицы. Для настройки отображения столбцов необходимо нажать кнопку «Настройка столбцов» и выбрать в выпадающем списке необходимые столбцы. По умолчанию в таблице отображаются все столбцы.
Порядок работы с информацией, представленной в формате таблицы описан в разделе Форма раздела меню. Таблица настоящего руководства.
Блок фильтрации на панели инструментов позволяет фильтровать записи по всем столбцам списка и состоит из следующих элементов (см. Рисунок – Блок фильтрации):
Сквозной поиск по полям таблицы осуществляется с помощью ввода искомого значения в поле параметра «Поиск». Поиск осуществляется по всем доступным столбцам таблицы.
Фильтрация по полю «Статус» позволяет отфильтровать получателей списка инцидентов по статусу получателя. Поле «Статус» содержит выпадающий список и предоставляет выбор из двух вариантов значений – «Активно» и «Неактивно».
Фильтрация по полю «Протокол» позволяет отфильтровать получателей списка инцидентов по протоколу получателя. Поле «Протокол» содержит выпадающий список и предоставляет выбор из двух вариантов значений – «TCP» и «UDP».
Для удаления получателя необходимо установить флажок в чек-бокс рядом с наименованием получателя, нажать кнопку «Удалить» на панели инструментов и подтвердить удаление в появившемся окне (см. Рисунок – Удаление получателя списка инцидентов).
Существует возможность одновременного включения/выключения экспорта для одного или нескольких получателей без необходимости открытия карточки каждого. Для этого необходимо установить флажок в чек-боксы рядом с наименованиями необходимых получателей и нажать кнопку «Включить экспорт»/кнопку «Выключить экспорт» на панели инструментов (см. Рисунок – Выключение экспорта для нескольких получателей).
Рисунок – Выключение экспорта для нескольких получателей
Обновление необходимо для замены ARMA MC на новую версию.
Примечание
При обновлении нельзя пропускать версии. Например, чтобы обновить ARMA MC с версии «2.1» на версию 2.3, нужно сначала обновить ARMA MC с «2.1» на «2.2», а потом с «2.2» на «2.3».
При обновлении с «1.8» следует обновиться сразу на «2.1» игнорируя промежуточные версии.
Объём свободного места для успешного проведения обновления зависит от размера БД ARMA MC. Перед проведением обновления следует оценить дисковое пространство, как это описано в разделе Оценка объема дискового пространства перед обновлением Руководства администратора ARMA MC. Если свободное место на разделе с ARMA MC меньше требуемого, необходимо освободить место перед проведением обновления.
В случае прерывания обновления произойдёт откат к предыдущей версии ARMA MC с сохранением всех данных и установленных настроек.
Данный параграф относится к случаю, когда ARMA MC обновляется с версии «1.8» (в т.ч. «1.8.2») на версию «2.1».
До начала обновления необходимо выполнить следующее:
Сохранить архивы ротации через интерфейс хранилища (см. Хранилище настоящего руководства).
Примечание
В связи с обновлением системы ротации старые форматы архивов перестанут быть доступны в версии «2.1». Хотя эти данные не будут доступны через веб-интерфейс, они могут занимать место на диске. Порядок удаления описан в разделе Удаление устаревших данных после обновления Руководства администратора ARMA MC.
Проверить версию ОС.
Примечание
Необходимо убедиться, что версия «Debian» равна «11.11». Проверить версию можно с помощью команды cat/etc/debian_version.
Установить пакет «UFW» для ОС (если он ещё не установлен).
Примечание
Наличие «UFW» критично для проведения обновления. Установка пакета должна производиться администратором системы, например, с помощью команды sudoaptinstallufw. Проверить наличие и активный статус службы «UFW» можно командой: systemctlstatusufw. В выдаче должно присутствовать Active: active.
Проверить наличие и версию «elasticsearch».
Примечание
Пакет «elasticsearch» уже должен быть в системе, но если версия была обновлена в процессе обслуживания системы, при обновлении ARMA MC могут возникнуть ошибки. Для проверки версии можно использовать команду usr/share/elasticsearch/bin/elasticsearch--version. Версия должна быть строго «7.12.0». Если версия отличается, нужно установить «7.12.0».
Пункты 2, 3 и 4 должны выполняться администратором ОС.
К обновлению можно приступать только после выполнения всех перечисленных пунктов.
Для работы ARMA MC версии «2.2» требуется новая лицензия, для получения которой необходимо обратиться в техническую поддержку. Это следует сделать заранее, так как после успешного обновления на версию «2.2» откроется страница активации лицензии, ARMA MC не будет работать без успешной активации новой лицензии (подробнее см. в разделе Изменение лицензии Руководства администратора ARMA MC).
Перед запуском обновления следует убедиться, что в ARMA MC есть TLS сертификат и его ключ. При их отсутствии следует сгенерировать сертификат с ключом и приложить в разделе Настройки, см. Изменение TLS сертификата Руководства пользователя ARMA MC. Если этого не сделать, то после обновления доступ в консоль будет невозможен.
Обновление на версию «2.2» возможно только с версии «2.1». Если используется более ранняя версия ARMA MC, её необходимо обновить до версии «2.1».
Для перехода в подраздел меню на панели навигации необходимо выбрать раздел меню «Настройки», затем – подраздел «Обновление» (см. Рисунок – Обновление).
После запуска обновления появится индикатор прогресса и уведомление «Внимание! Выполняется подготовка к обновлению. Пожалуйста, не обновляйте страницу, иначе скачивание пакета обновления будет прервано» (см. Рисунок – Индикатор прогресса обновления).
Во время обновления ARMA MC появится информационный баннер «Внимание! Выполняется процесс обновления. Все сервисы остановлены, система будет недоступна для использования. Пожалуйста, подождите» (см. Рисунок – Процесс обновления):
Общий размер диска должен быть ≥ 200 ГБ, либо больше, в зависимости от размера вашей инсталляции ARMA MC вместе со всеми данными и логами.
При обновлении ARMA MC с версии «2.2» на версию «2.3» потребуется дополнительное свободное место на диске в размере x2 от занимаемого вашей инсталляцией ARMA MC вместе со всеми данными и логами. Это требование обусловлено технической особенностью обновления на версию, где часть сервисов переносится в Docker-контейнер. Это дисковое пространство требуется для сохранения резервной копии ARMA MC и переноса всех имеющихся данных перед обновлением, обеспечивая возможность возврата к предыдущей версии при возникновении ошибки обновления.
Пример 1: если ваша инсталляция ARMA MC занимает 200 ГБ свободного места, то для обновления понадобится минимум 400 ГБ дискового пространства — 200 ГБ для имеющейся инсталляции и 200 ГБ для резервной копии. Также рекомендуется проследить, чтобы сверх 400 ГБ был запас по объему диска. Если на диске ровно 400 ГБ, то обновление может заполнить всё доступное пространство диска, что может привести к ошибкам функционирования ОС или ARMA MC.
Пример 2: если ваша инсталляция ARMA MC занимает 55 ГБ свободного места, то при обновлении будет использовано минимум 110 ГБ дискового пространства — 55 ГБ для имеющейся инсталляции и 55 ГБ для резервной копии. Однако диска размером 110 ГБ будет недостаточно — для обновления требуется, чтобы общий размер диска был минимум 200 ГБ, т.к. в пакете обновления есть проверка на размер диска.
Чтобы вычислить, сколько дискового пространства занимают данные вашей инсталляции ARMA MC, можно сложить результаты указанных ниже команд.
Для успешного обновления ARMA MC доступное на диске пространство должно быть больше занятого. Узнать доступное пространство можно с помощью команды:
df-h
Если обновление ARMA MC планируется в закрытом контуре, то требуется скачать основные пакеты и Docker заранее на машине с доступом в Интернет, скопировать на носитель (USB-накопитель, диск) и установить на целевой машине.
Примечание
В ARMA MC версии «2.3» сторонние сервисы перенесены в «Docker». В связи с этим архитектурным изменением отслеживание процесса обновления через экранные формы недоступно. Следить за ходом обновления ARMA MC можно с помощью специального скрипта watch-update-state.sh, который поставляется вместе с установочным пакетом.
Для обновления ARMA MC на версию выше необходимо выполнить следующие действия:
Перед началом обновления следует ознакомиться с требованиями к среде функционирования (см. раздел Требования к среде функционирования Руководства администратора ARMA MC).
При любом варианте платформы и ОС для установки и функционирования ARMA MC требуется установить или обновить стандартные пакеты (подробнее см. в п. Установка стандартных пакетов Руководства администратора ARMA MC).
Если ARMA MC установлена на платформу с ОС «Astra Linux», то перед обновлением ARMA MC следует отключить службы «мандатный контроль целостности (mic-control)» и «мандатное управление доступом (mac-control)» и перезагрузить ОС. Это можно сделать с помощью команды:
Более подробная информация представлена в разделе Отключение служб Astra Linux Руководства администратора ARMA MC.
При любом варианте платформы и ОС для установки и функционирования ARMA MC требуется установить «Docker» версии «25.0.5» и выше, а также плагин «docker-compose» (см. Установка Docker настоящего руководства).
Запустить скрипт визуализации обновления с помощью команды:
bashwatch-update-state.sh
Терминал, в котором была запущена команда, следует оставить открытым, чтобы наблюдать за изменениями статуса обновления ARMA MC. Сразу после запуска скрипта визуализации и до старта обновления ARMA MC отображается строка «Обновление не началось» (см. Рисунок – Скрипт визуализации, обновление не началось).
Рисунок – Скрипт визуализации, обновление не началось
В веб-интерфейсе ARMA MC на панели навигации выбрать раздел «Настройки», затем – подраздел «Обновление» (см. Рисунок – Обновление).
Нажать кнопку «Обновить». В этот момент начинается загрузка пакета обновления и файла электронной подписи. Появится индикатор прогресса и уведомление «Внимание! Выполняется подготовка к обновлению. Пожалуйста, не обновляйте страницу, иначе скачивание пакета обновления будет прервано» (см. Рисунок – Индикатор прогресса обновления).
После загрузки появится уведомление об ошибке в левом нижнем углу экрана. В данном исключительном случае оно свидетельствует о нормальном ходе установки. Такое поведение системы связано с технической реализацией обновления с версии «2.2» на версию «2.3».
Рисунок – Скрипт визуализации, запущен процесс обновления ARMA MC
Чтобы с помощью JSON-файла понимать, как идёт процесс обновления, нужно следить за полями active_state и sub_state.
active_state — статус обновления;
sub_state — текущий шаг обновления.
На скриншоте выше поле active_state находится в статусе InProgress. Это означает, что обновление ARMA MC в процессе. На том же скриншоте в поле sub_state указано значение Check requirements. Это означает, что обновление находится на шаге проверки системных требований (ОС, RAM, CPU, HDD).
Дождаться, когда пройдут все шаги обновления, перечисленные в таблице ниже.
Рисунок – Скрипт визуализации, ошибка обновления ARMA MC, возврат к предыдущей версии
На скриншоте выше в поле active_state указан статус Rollback. Это означает, что происходит возврат к предыдущей версии из-за ошибки при обновлении ARMA MC. На том же скриншоте в поле sub_state указано значение amc-migration_db. Это означает, что ошибка возникла на шаге переноса базы данных в Docker.
Когда возврат к предыдущей версии ARMA MC завершён, в терминале с запущенным скриптом визуализации отображается строка «Обновление завершилось» (см. Рисунок – Скрипт визуализации, ошибка обновления ARMA MC, возвращена предыдущая версия ARMA MC). В этом случае следует нажать любую клавишу для выхода из скрипта визуализации, исправить причину ошибки и запустить обновление повторно.
Рисунок – Скрипт визуализации, ошибка обновления ARMA MC, возвращена предыдущая версия ARMA MC
Примечание
Просмотреть причину ошибки обновления можно в журнале amcchecker с помощью команды:
journalctl-fuamcchecker
Когда обновление успешно завершится, в терминале с запущенным скриптом визуализации отобразится строка «Обновление не началось» (см. Рисунок – Скрипт визуализации, успешное обновление ARMA MC). Это происходит из-за особенности технической реализации: после завершения обновления служба amcchecker сразу же перезагружается, поэтому сообщения об успешном обновлении нет.
Рисунок – Скрипт визуализации, успешное обновление ARMA MC
Убедиться, что версия обновилась. Это можно сделать одним из следуюших способов:
после авторизации в веб-интерфейс ARMA MC посмотреть версию в нижней части окна;
получить версию из файла /usr/local/armaconsole/app/product_version;
посмотреть по ссылке https://<IP_адрес_ARMA_MC>/version.
На машину, где проводится обновление, загрузить файл скрипта документации «amc-docs-installer.run». Для запуска скрипта последовательно выполнить команды:
Карточка организации отображает информацию об организации, необходимую для отправки уведомлений в НКЦКИ.
Для перехода к карточке организации на панели навигации необходимо выбрать раздел «Настройки», затем подраздел «Организация» (см. Рисунок – Карточка организации).
рядом с полем.
