Журнал безопасности, SIEM и мониторинг

Содержание

1. Назначение

Каждый узел HopeDC (v164 и новее) ведёт журнал безопасности: входы по Kerberos, LDAP, NTLM и в панель (успешные и неудачные), блокировки и разблокировки учётных записей, смену и сброс паролей, изменения каталога и групп, действия администраторов в панели и изменения настроек аудита. Коды событий совпадают с журналом безопасности Windows (4624, 4625, 4740 …), поэтому правила корреляции SIEM, написанные для Active Directory, применимы без переделки.

События можно смотреть в панели, выгружать в CSV/JSON и отправлять в SIEM по syslog. Отдельно узел отдаёт метрики в формате Prometheus — для Prometheus, VictoriaMetrics, Grafana и Zabbix (готовый шаблон).

2. Какие события записываются

Поля события: время (мс), код, категория (logon, account, directory, panel, audit), результат (success/failure), протокол, кто (учётка или DN вошедшего), объект (DN), IP клиента, домен, узел, подробности.

3. Хранение, поиск и выгрузка

Журнал узла — файлы <каталог данных>/seclog/ГГГГ-ММ-ДД.jsonl (по строке JSON на событие, права 0600, каталог 0700). Файлы старше срока хранения (по умолчанию 90 дней) удаляются раз в час. Каждый узел кластера ведёт свой журнал — для сводной картины используйте SIEM.

Вкладка «События»: быстрые фильтры (все события, неудачные входы, блокировки, пароли, группы, изменения каталога, действия в панели, все входы), период (час, сутки, 7 и 30 дней, всё время), поиск по пользователю, объекту, IP и тексту (несколько слов — все должны встретиться), обновление каждые 10 секунд. Новые события — сверху, по 200 строк («Показать ещё»). Строка открывает карточку события. Кнопки CSV (для Excel, разделитель «;») и JSON (по строке на событие) выгружают события по текущему фильтру, до 100 000.

API: GET /api/security/events?from=&to=&ids=4625,4771&outcome=failure&cat=logon&proto=ldap&q=alice&limit=200 (время — мс UNIX), выгрузка — /api/security/events/export?…&format=csv|jsonl.

4. Настройки журнала

Вкладка «Настройки и SIEM» → «Журнал на узле»:

• Вести журнал безопасности — включён по умолчанию. Выключение само записывается в журнал (4719).
• Хранить, дней — от 1 до 3650.
• Успешные входы — их больше всего; неудачные входы пишутся всегда.
• Служебные билеты Kerberos (4769) — по умолчанию выключено.
• Изменения через панель (9100) — отказы в доступе (9101) пишутся всегда.

Счётчики «Записано событий» и «Потеряно (переполнение)» — с момента запуска службы. Настройки узла — файл seclog.json в каталоге данных (зашифрован, как остальные настройки).

5. Выгрузка в SIEM

«Отправлять события в SIEM»: сервер, порт, протокол, формат и facility. Каждый узел отправляет свои события; настройте одинаково на всех узлах кластера.

Обёртка — syslog RFC 5424: <PRI>1 ВРЕМЯ УЗЕЛ hopedc - КОД - СООБЩЕНИЕ. Пример CEF:

<84>1 2026-10-28T16:58:27.845+03:00 dc01 hopedc - 4625 - CEF:0|HopeDC|HopeDC Domain Controller|164|4625|Неудачный вход|5|rt=1793195907845 outcome=failure app=ldap cat=logon suser=alice@corp.local src=10.10.0.15 dvchost=dc01 msg=invalid credentials

Поля CEF: rt — время (мс), outcome, app — протокол, cat — категория, suser — кто, duser — объект (DN), src — IP клиента, dvchost — узел HopeDC, cs1 (метка domain) — домен, msg — подробности. Важность CEF: блокировка — 7, неудачи — 5, сброс пароля, изменение групп и настроек аудита — 5, остальное — 3.

Пример JSON (после заголовка syslog): {"id":4740,"name":"Учётная запись заблокирована","outcome":"success","cat":"account","proto":"policy","user":"alice","target":"CN=alice,CN=Users,DC=corp,DC=local","domain":"corp.local","node":"dc01","msg":"5 неверных попыток (порог 5), блокировка 30 мин","ts":1793195907845}

«Проверить связь с SIEM» отправляет тестовое событие 9199 с текущими (несохранёнными) настройками и показывает ошибку подключения или проверки сертификата. Статистика — отправлено, ошибок, не доставлено, последняя ошибка. При обрыве TCP/TLS узел переподключается не чаще раза в 10 секунд; события, которые за это время не удалось отправить, остаются только в журнале узла (счётчик «Не доставлено»).

Приём на rsyslog (пример для проверки):

module(load="imtcp")
input(type="imtcp" port="514" ruleset="hopedc")
ruleset(name="hopedc") { action(type="omfile" file="/var/log/hopedc-security.log") }

6. Метрики Prometheus

Вкладка «Мониторинг (Prometheus, Zabbix)»: «Отдавать метрики» — узел отвечает на GET https://<узел>:9444/metrics (и на порту панели 9443). Доступ — заголовок Authorization: Bearer <токен>; токен выпускается в панели («Новый токен» — прежний перестаёт действовать). Можно ограничить адреса сборщиков (IP или подсеть IPv4). Список «Сетевой доступ → Панель» на /metrics не действует — у метрик свой токен и свой список. Выключено — ответ 404, неверный токен или адрес — 401. Настройки узла — metrics.json.

Счётчики — с момента запуска службы (как принято в Prometheus: используйте rate()). Пример настройки Prometheus — на вкладке «Мониторинг» (кнопка «Копировать»):

scrape_configs:
  - job_name: hopedc
    scheme: https
    tls_config: { ca_file: /etc/prometheus/hopedc-ca.pem }   # ЦС сертификата узла (или insecure_skip_verify: true)
    authorization: { type: Bearer, credentials: hdcm_… }
    static_configs:
      - targets: ['dc01.corp.local:9444', 'dc02.corp.local:9444']

Полезные запросы: sum by (protocol) (rate(hopedc_auth_total{result="failure"}[5m])) — неудачные входы в секунду; increase(hopedc_account_lockouts_total[1h]) — блокировки за час.

7. Шаблон Zabbix

«Скачать шаблон Zabbix» — файл zabbix_template_hopedc.yaml (формат Zabbix 6.0; проверен импортом в Zabbix 7.0). Импорт: «Настройка» (в Zabbix 7 — «Сбор данных») → «Шаблоны» → «Импорт». Затем создайте узел (хост) Zabbix на каждый узел HopeDC, привяжите шаблон «HopeDC by HTTP» и задайте макросы:

Один HTTP‑элемент получает метрики, 26 зависимых элементов разбирают их (предобработка «Шаблон Prometheus», скорость в секунду). Триггеры (12): служба перезапущена; нет данных метрик 5 минут; версия изменилась; много неудачных входов (Kerberos, LDAP, NTLM, панель — отдельно); массовые блокировки учётных записей; журнал безопасности теряет события; ошибки записи журнала; SIEM не принимает события; мало места на диске данных. Проверка сертификата HTTPS в шаблоне выключена (сертификат узла может быть самоподписанным); если сертификат узла выпущен доверенным для Zabbix ЦС, включите проверку в элементе «получение метрик».

8. Права доступа

v184: у раздела своё право в матрице ролей (раньше — права «Логирование»); роли с правами «Логирование» получили его при обновлении автоматически. Доменно‑ограниченным администраторам раздел недоступен: журнал — общий для всех доменов узла.

9. Нагрузка и ограничения

• Запись не задерживает вход: событие ставится в очередь (до 100 000), файл пишет и в SIEM отправляет отдельная задача. При переполнении событие отбрасывается и учитывается в счётчике «Потеряно» (метрика hopedc_seclog_dropped_total). На стенде 3 200 попыток входа по LDAP за 3 секунды (8 потоков) записаны и отправлены в SIEM без потерь.
• Каждый узел пишет свои события; события других узлов кластера видны в SIEM, а не в панели этого узла.
• Значения атрибутов и пароли не записываются; для изменений через панель записывается раздел API, а не содержимое запроса.
• Переименование и перемещение объектов по LDAP (ModifyDN) пока не записываются.
• UDP не гарантирует доставку; для полноты используйте TCP или TLS.
• Счётчики метрик обнуляются при перезапуске службы.

10. Диагностика