Автор: Igor

Opsdash забезпечує майже в реальному часі зберігання та запити великого обсягу трафіку, що досягає межі Deflect (багато мільйонів подій на добу).

До його складу входять:

• кластер Elasticsearch для зберігання даних і виконання запитів;
• інтерфейс Kibana для швидкого та легкого створення візуалізацій складних даних;
• Logstash для збагачення та вставки журналів в Elasticsearch;
• Log-courier для безпечного та швидкого доставлення протоколів (logs) від браузера (edge) до Logstash;
• nginx для обмеження доступу до потужного API Elasticsearch.

Edgemanage – інструмент, який використовують для забезпечення максимальної доступності браузерів Deflect. Він спостерігає за станом браузерів у пулі браузерів Deflect і вибирає найкращі з них, щоби бути активними (тобто в DNS) у будь-який момент часу.

Див. документацію Edgemanage на GitHub.

Swabber відповідає за управління фактичною забороною IP-адрес, ідентифікованих Banjax або Learn2ban.

Для зв’язку він використовує механізм pub-sub на основі ZMQ і забороняє задані IP-адреси через IP-таблиці для блокування виявлених зловмисних IP-адрес на рівні TCP. Swabber має декілька параметрів, які можна налаштувати для більшої гнучкості:

• Час блокування (bantime) – описує час, на який шкідливі IP-адреси мають бути заборонені для подальших HTTP-запитів.
• Зв’язки (bindstrings) – надає список адрес, які потрібно прослідкувати для заборони.
• Інтерфейс (interface) – законне джерело заборон, з яким необхідно взаємодіяти.
• Внутрішня частина (backend) – Swabber підтримує наступні методи заборони:
  • Необроблений формат даних (raw)
    • команди IP-таблиць
  • Бібліотека python-iptables
  • host.deny

Документація

Переважна більшість документації та деталей доступна на Github.

Requirements

Вимоги до Swabber можна встановити через pip. Мінімальна підтримувана версія python – 2.6. У коді використовується ключове слово “as” та інші умовні позначення, які присутні тільки у версії 2.6 і вище.

*pip – інсталятор пакетів для Python.

Вимоги

Swabber використовує систему pub/sub через ZMQ, за допомогою якої сам Swabber намагається під’єднатися (тобто підписатися) до порту (зазвичай на localhost), де щось публікує блокування, починаючи прослуховування (публікацію) на тому ж порту.

Swabber сприймає блокування як IP-адресу. Якщо IP-адресу ще не заблокували, вона буде заблокована. Якщо її вже заблоковували, блокування буде продовжене на попередньо визначений час блокування. Він визначається в конфігураційному файлі swabber.yaml, за замовчуванням цей час дорівнює двом хвилинам.

Manual Execution

Ви можете використовувати скрипт init, щоб запустити swabber як демон, як зазвичай:

/etc/init.d/swabberd start

Або, якщо хочете побачити більше інформації про налагодження:

swabberd -v