Сценарии использования
Система Логикор построена на базе микросервисной архитектуры. Это позволяет адаптировать ее конфигурацию к потребностям заказчика и развертывать решение в инфраструктурах с различной топологией.
Ниже представлены примеры построения и интеграции Системы Логикор в инфраструктуре заказчика. Это лишь часть возможных сценариев ее использования.
Приведенные сценарии носят справочный характер. Архитектурные схемы и схемы взаимодействия упрощены для наглядности.
Сбор и хранение событий
В данном сценарии Система Логикор отвечает за сбор событий со всех источников.
Схема данных и правила нормализации событий могут быть произвольными, но в продукте выделены две схемы:
mpsiem— соответствует таксономии MP SIEM;json— предназначена для произвольных событий в форматеJSON.
Логикор выступает в качестве озера данных: собирает все события и позволяет их анализировать. В рамках мониторинга можно настроить уведомления по заранее заданным фильтрам.
Интеграция с MP SIEM
В данном сценарии Система Логикор отвечает за сбор событий, их нормализацию в соответствии с правилами и таксономией MP SIEM, а также фильтрацию и отправку данных, необходимых для срабатывания правил корреляции.
Для обработки автоматически загружаются и преобразуются правила нормализации и фильтрации из SIEM-системы. В нее передаются только события, соответствующие хотя бы одному фильтру из правил корреляции.
В Логикор можно просматривать и анализировать нормализованные данные по той же схеме полей, а также настраивать уведомления мониторинга по заранее заданным фильтрам.
Получение событий по pull-модели
В данном сценарии Система Логикор отвечает за получение событий из внешних контуров по pull-модели и их обработку.
Инфраструктура включает закрытый контур А и внешние контуры В и Д, в которых сбор выполняется с помощью агента Hyperion.
Соединения разрешено инициировать только из закрытого контура во внешние. Поэтому Saturn, расположенный в контуре А, подключается к агентам и получает собранные события.
Данные обрабатываются в соответствии с установленными правилами нормализации, фильтрации и дальнейшей отправки.
Отправка событий по push-модели
В данном сценарии Система Логикор отвечает за получение событий по push-модели, их обработку и хранение.
Инфраструктура включает закрытые контуры А и Б и внешний контур В, в котором установлена основная Система Логикор. Для сбора данных во всех трех контурах используется агент Hyperion.
Соединения разрешено инициировать только из закрытых контуров во внешний. Поэтому расположенные в них агенты самостоятельно отправляют события в контур В.
В результате взаимодействия сервис Saturn получает данные из всех трех контуров и обрабатывает их в соответствии с заданными правилами нормализации, фильтрации и дальнейшей отправки.
Цепочка передачи событий
В данном сценарии Система Логикор отвечает за получение событий из внешних контуров через цепочку агентов Hyperion и их обработку.
Инфраструктура включает закрытый контур А и внешние контуры В и Д, в которых агенты собирают события из локальных источников.
Из контура В данные отправляются в Д по push-модели, а затем поступают в закрытый контур А по pull-модели.
Между закрытым и внешними контурами соединения разрешено инициировать только из А. Поэтому сервис Saturn в этом контуре подключается к агенту в Д.
В результате взаимодействия сервис Saturn получает события из контуров В и Д и обрабатывает их в соответствии с установленными правилами нормализации, фильтрации и дальнейшей отправки.
Подключение тенантов
В данном сценарии Система Логикор отвечает за сбор и хранение событий в филиалах, а также за доступ к их данным через тенанты.
Инфраструктура включает Головной филиал, Филиал 1 и Филиал 2. В каждом установлена Система Логикор. Сбор и хранение выполняются независимо. События остаются в локальных хранилищах и не пересылаются между филиалами. В Головном филиале настроены подключения к базам данных ClickHouse Филиала 1 и Филиала 2 через два отдельных тенанта.
Пользователи Филиала 1 и Филиала 2 видят только события своего филиала.
В результате взаимодействия пользователи Головного филиала могут просматривать и анализировать события всех трех филиалов без их пересылки и дублирования для хранения.