Přeskočit obsah

Správa aktiv

Assets jsou hosty, uživatelé a služby, které LogMan.io poznává ze streamu událostí. Platforma sleduje, kdy byla entita poprvé a naposledy viděna, zda je stále aktivní a jak detekční aktivita ovlivňuje její risk score. Pomocí Assets udržujete inventář, odhalíte neaktivní nebo rizikové entity a přejdete do Discover pro hlubší vyšetřování.

Tato stránka popisuje obrazovky Assets ve webové aplikaci: inventář, detail, stale alerty a typické kroky vyšetřování. Jak se activity události vytvářejí v Parsec (mapování identity, skip, Kafka topicy), viz Správa aktiv a activity stream.

Kdo to může dělat?

Otevření modulu Assets vyžaduje lmio:asset:access. Úprava tagů, alertů nebo mazání aktiv vyžaduje lmio:asset:edit. Změna alternate names nebo risk score weight vyžaduje lmio:lookup:edit. Otevření Discover z aktiva vyžaduje bitswan:discover:access.

Otevření modulu Assets

V hlavním menu vyberte Assets (ikona krabice). Můžete procházet:

Obrazovka Co zobrazuje
All assets Celý inventář
Hosts Počítače a servery
Users Uživatelské účty
Services Servisní principály
Asset detail Jedna entita s grafy a nastavením

Aktiva se vytvářejí automaticky při příchodu odpovídajících událostí. V UI je ručně nevytváříte.

Co vidíte v seznamu

Tabulka aktiv obsahuje:

Sloupec Význam
Id Název principála (hostname, username, service id). Kliknutím otevřete detail.
Alert badge Zda je nastaven alert stale after (viz níže)
Last activity Poslední událost pro toto aktivum
Risk score Aktuální entitní riziko z detekcí (časově rozpadlé)
Activity Zelená ikona = aktivní; červená = neaktivní (viz Aktivní vs neaktivní)

Vyhledávací pole filtruje podle id nebo typu. Filtr Activity zobrazí jen Active nebo Inactive. Řazení podle id, last activity, risk score nebo stavu activity.

Download all exportuje aktuální filtrovaný seznam do CSV.

Detail aktiva: grafy a postranní panel

Klikněte na Id aktiva pro detail.

Postranní panel (identita a nastavení)

  • Type: host, user nebo service
  • First / last activity: kdy LogMan.io entitu poprvé a naposledy viděl
  • Average risk score: rozpadlé skóre z detekčních událostí
  • Activity status: aktivní nebo neaktivní
  • Alternate names: aliasy (hostname, IP, username, e-mail) pro hosty a uživatele
  • Stale after (alert): práh neaktivity před vyvoláním alertu
  • Risk score weight: násobitel ovlivňující skórování detekcí pro tento principál
  • Tags: štítky pro filtrování a reporting

Grafy

  • Activity: objem událostí v čase (podle datasetu, pokud je k dispozici)
  • Risk score: špička detekčního rizika v časovém bucketu
  • Related principals: hosty ukazují související uživatele; uživatelé související hosty

Pomocí výběru časového rozsahu a volitelného filtru LARK klikněte na Fetch data pro obnovení grafů. Výchozí rozsah jsou poslední tři dny.

Otevření v Discover

Klikněte na Open in Discover pro hledání raw událostí tohoto principála ve zvoleném časovém rozsahu. Hlavní cesta z aktiva k plnému vyšetřování.

Risk score vs activity

Měří různé věci:

Koncept Zdroj Otázka
Activity Activity event lane Posílá entita stále logy?
Risk score Detekční události (complex lane) Kolik podezřelé aktivity se entity nedávno týkalo?

Host může být aktivní (stále loguje) s nízkým risk score, nebo neaktivní s vysokým skóre z minulých detekcí, dokud nerozpadne.

Čárový graf na detailu ukazuje, kdy detekce vystřelily. Prázdný bucket znamená žádné kvalifikující detekční události v tom intervalu.

Aktivní vs neaktivní

Zelená/červená ikona Activity (a filtr Active / Inactive v seznamu) odpovídá na: Byla entita nedávno dostatečně viděna?

active  ⇔  (now − last activity) ≤ threshold
Stale after (alert) Práh pro badge
Nastaveno (např. 1d, 3d) Stejné okno jako alert
Vymazáno / vypnuto 7 dní

Bez last activity → inactive.

Badge vs Alert Management

Vypnutí Stale after (alert) neznamená, že aktivum zůstane navždy zelené. Po 7 dnech bez activity se stále zobrazí jako neaktivní. Co vypnete, je tiket Asset inactive v Alert Management; ten kanál běží jen při nastaveném prahu.

Technický detail (API pole active): LogMan.io Assets - Active vs inactive.

Stale asset alerty

LogMan.io může upozornit, když aktivum přestane posílat události.

  1. Na detailu aktiva (nebo přes Bulk actions v seznamu) nastavte Stale after (alert): např. 1d nebo 3d
  2. Uložte

Pokud v tom okně nepřijde activity, Alert Management dostane signál Asset inactive. Otevřený signál obsahuje, jak dlouho je aktivum tiché (event.duration ve výchozím nastavení jako lidsky čitelná délka). Po obnovení activity se alert automaticky zavře.

Pro zastavení monitoringu smažte práh (tlačítko X na detailu, nebo Clear alerts v bulk akcích). Pokud už byl otevřen tiket Asset inactive pro to aktivum, vymazání (nebo zvýšení prahu tak, že last activity spadne do nového okna) pošle recovery signál, který může tiket v Alert Management zavřít (popis: aktivum je znovu aktivní). Smazání aktiva (nebo sloučení) také zavře otevřený tiket s popisem, že aktivum bylo smazáno — ne že se znovu aktivovalo.

Vymazání prahu nezamrzne Activity badge: bez alert_after znamená neaktivní stále více než 7 dní od last activity (viz Aktivní vs neaktivní).

Výchozí hodnota pro nová aktiva

Nová aktiva dostanou výchozí stale alert: 3 dny pro hosty a služby, 7 dní pro uživatele (Knihovna /Assets/Defaults/settings.yaml, nebo INI služby [assets] default_alert_after_*). Krátká okna jako 2h často otevírají a zavírají tikety opakovaně u zdravých hostů, které část dne mlčí. Po recovery tiketu je další otevření drženo přibližně den (stale_alert_reopen_cooldown_sec). Práh můžete změnit nebo vymazat na každém aktivu.

Notifikace při novém aktivu

Administrátoři mohou zapnout notifikace asab-iris (e-mail, Slack, SMS nebo push), když LogMan.io z activity streamu objeví nový host, uživatele nebo službu.

Režim Co dostanete
Instant Jedna zpráva při prvním vytvoření aktiva
Scheduled Periodický souhrn aktiv vytvořených v posledním intervalu (výchozí často 1 hodina)

To není totéž jako stale asset alerty (ty jdou do Alert Management, když aktivum zmlkne). Notifikace nových aktiv se spouští jen při prvním objevení, ne při každé další aktualizaci last_seen.

Nastavení je Knihovna + konfigurace služby (kanál, šablony, volitelné filtry). Zeptejte administrátora, nebo viz Konfigurace Assets.

Filtrování šumu z inventáře

Některé identity by se nikdy neměly stát aktivy (např. Windows SYSTEM nebo jednorázové hostnames). Administrátoři je mohou filtrovat na dvou místech:

Vrstva Kde Co filtruje
Assets Library /Assets/Skip/settings.yaml Host a user tituly přes names / prefixes / suffixes / contains (case-insensitive); zahodí aktiva na activity a complex
Parsec event lane parsec.asset.skip Host a user přes exact / prefixes / suffixes / contains / ip; zahodí z activity Kafka streamu

Použijte Knihovnu /Assets/Skip/ (prefixes, min_hyphens, ip, …) v inventáři. Detaily: Konfigurace Assets a Parsec správa aktiv.

Pokud logy dávají IP do host.hostname a stane se z toho host.id, požádejte administrátora o parsec.asset.skip.host.ip: true na dané event lane (Přeskočení IP použitých jako hostname). Zachová fallback pro skutečné hostnames.

Tagy a alternate names

Tagy

Tagy jsou volné štítky na aktivu (např. label=prod, team=soc nebo critical). Jsou v sidecar kolekci vedle dokumentu aktiva a na detailu. Přidávat a odebírat můžete s oprávněním edit.

Tagy a události v Discover

Pro vyšetření všech událostí každého hosta (nebo uživatele / služby) se stejným tagem nemusíte ručně vkládat názvy hostů.

V Discover / Chart

Vyberte datasource, který v Knihovně deklaruje asset_tag (např. Events (hosts label=prod) z Common Library). Chart se zeptá Assets na odpovídající principály a omezí dotaz na tyto host.id (volitelně user.id / service.id). Viz Události pro aktiva podle tagu.

Přes Assets API

  • Seznam tagovaných aktiv: GET /api/lmio-assets/{tenant}/asset?atag=label:prod
  • Sestavení Discover filtru: GET /api/lmio-assets/{tenant}/asset/events-filter?atag=label:prod&akind=host

Odpověď events filter obsahuje data.filter (např. host.id:(web01, web02)). Vložíte do Discover, nebo spoléháte na Chart datasource, který filtr aplikuje automaticky.

Vyžaduje lmio:asset:access. Shoda je case insensitive.

Alternate names

Hosty a uživatelé mohou mít alternate names: další hostnames, IP, MAC, usernames nebo e-maily mapované na stejné aktivum. Pomáhá, když stejný stroj nebo osoba v logách vystupuje pod různými identifikátory.

Úprava alternate names vyžaduje oprávnění lookup edit, protože hodnoty jsou ve watcher lookupech.

Pro aktuální mapování username → user.id ve škále adresáře z Active Directory použijte LDAP feed do usernames2userid. Viz LDAP / AD feed identity uživatele.

Risk score weight

Risk score weight (0 až 100) upravuje, jak silně detekce ovlivňují skóre aktiva. Pro známé dobré systémy (nižší váha) nebo cíle s vysokou hodnotou (vyšší váha). Vyžaduje oprávnění lookup edit.

Hromadné akce v seznamu

  1. Otevřete All assets (nebo Hosts, Users, Services)
  2. Klikněte na Bulk actions (ikona mřížky)
  3. Vyberte řádky checkboxy, nebo vše na stráně
  4. V postranním panelu:
  5. Nastavte nebo vymažte Stale after (alert) pro výběr
  6. Smažte vybraná aktiva (s potvrzením)

Smazání odstraní záznam aktiva. Znovu se vytvoří, pokud přijdou odpovídající události.

Typické postupy analytika

Najít riziková nebo tichá aktiva

  1. Otevřete Assets → All
  2. Seřaďte podle Risk score sestupně, nebo filtr Inactive
  3. Otevřete zajímavé řádky a projděte grafy a last activity

Vyšetřit jeden host nebo uživatele

  1. Otevřete detail aktiva
  2. Nastavte časový rozsah na incident
  3. Zkontrolujte graf risk score pro špičky detekcí
  4. Zkontrolujte graf activity pro mezery v logování
  5. Klikněte Open in Discover pro jednotlivé události
  6. U hostů nebo uživatelů projděte related principals pro laterální kontext

Monitorovat kritické servery

  1. Otevřete host aktivum
  2. Nastavte Stale after (alert) na rozumné okno (např. 1d nebo 3d)
  3. Přidejte tagy jako critical
  4. Reagujte na alerty Asset inactive v Alert Management

Úklid po přejmenování

Když stejný host nebo uživatel vystupuje jako dvě aktiva (např. krátký název a FQDN):

  1. Otevřete aktivum, které chcete zachovat (kanonické Id)
  2. Pod Alternate names přidejte druhý identifikátor
  3. Pokud tento název už existuje jako samostatné aktivum, Assets může po potvrzení duplicitu odstranit; události se starým názvem pak řeší zachované aktivum přes lookup

Jak aktiva souvisí s detekcemi

flowchart TB
    EV[Incoming events]
    ACT[Activity lane]
    CMP[Complex lane / detections]
    AST[(Assets)]
    UI[Assets screens]
    DIS[Discover]
    ALM[Alert Management]

    EV --> ACT
    EV --> CMP
    ACT --> AST
    CMP --> AST
    AST --> UI
    UI --> DIS
    AST --> ALM
  • Activity aktualizuje first seen, last seen a stav aktivní/neaktivní (viz Správa aktiv a activity stream)
  • Detekce na complex lane naplňují risk score
  • Stale alerty propojují aktiva s Alert Management, ne s obrazovkou Detections
  • Notifikace nových aktiv (volitelné) jdou přes asab-iris, ne Alert Management

Souhrn oprávnění

Úkol Oprávnění
Zobrazit Assets lmio:asset:access
Upravit tagy, stale alert, smazat lmio:asset:edit
Upravit alternate names, risk weight lmio:lookup:edit
Open in Discover bitswan:discover:access
Zobrazit podkladové lookupy lmio:lookup:access
Řešit stale asset alerty lmio:alert:access (Alert Management)

Související čtení