Архитектура и компоненты системы

MaxPatrol EDR состоит из двух уровней: серверной части и агентов, устанавливаемых на конечные устройства.

Серверная часть включает два ключевых компонента:

1. Управляющий сервер — центральный элемент системы. Через него выполняется вся настройка MaxPatrol EDR: администратор работает с продуктом через веб-интерфейс. Поддерживает кластерную установку и резервирование.
2. Сервер агентов — отвечает за управление агентами и модулями, а также за взаимодействие с внешними системами: MaxPatrol SIEM, MaxPatrol VM, PT Sandbox, syslog-серверами.

На конечных устройствах работают:

• Агент — приложение, которое обеспечивает связь с сервером агентов и запускает модули на устройстве.
• Модули — функциональные приложения, выполняющие конкретные задачи: сбор данных, обнаружение угроз, реагирование, интеграцию.

Работа системы разворачивается в несколько последовательных шагов.

Шаг 1. Установка агентов. После развёртывания серверных компонентов на конечные устройства устанавливаются агенты. Для массового развёртывания поддерживаются инструменты автоматизации — Ansible, SCCM, Puppet и другие.

Шаг 2. Авторизация агентов. После подключения к серверу агент необходимо авторизовать — добавить в одну из групп. До этого момента агент неактивен.

Шаг 3. Настройка политик. Для каждой группы агентов задаётся политика — набор модулей и их параметров, определяющий функциональность агентов в этой группе.

Шаг 4. Доставка модулей. Сервер агентов автоматически передаёт на агенты все необходимые модули и их конфигурации в соответствии с привязанными политиками:

• Системные модули обеспечивают базовую среду выполнения для остальных модулей.
• Модули доставки и установки устанавливают и настраивают инструменты расширенного мониторинга — Sysmon на Windows и auditd на Linux.
• Модули сбора собирают данные о системных событиях и кэшируют их в памяти агента.
• Модуль нормализации обрабатывает собранные данные и передаёт их в модули обнаружения, на сервер агентов и в MaxPatrol SIEM.
• Модули обнаружения анализируют события, выявляют подозрительную активность и фиксируют события ИБ.
• Модули реагирования пресекают вредоносную активность — автоматически согласно политике или по команде аналитика.
• Модули интеграции обеспечивают обмен данными с внешними системами.

Шаг 5. Хранение событий. События И Б кэшируются на агенте и сервере агентов, затем передаются в собственную базу данных или в MaxPatrol SIEM. Кэширование активируется при временной недоступности сети.

Шаг 6. Мониторинг состояния. Агент передаёт метрики и данные трассировки на сервер агентов для контроля работоспособности системы.

Шаг 7. Обновления. Управляющий сервер автоматически получает обновления продукта и пакеты экспертизы с сервера обновлений Positive Technologies.

В контексте MaxPatrol EDR компонент — это инсталляционная единица: отдельная программная часть, которую инсталлятор устанавливает независимо.

Компоненты управляющего сервера


Стек компонента observability: OpenTelemetry (передача трассировок), Jaeger (работа с трассировками), Elasticsearch (хранение трассировок), VictoriaMetrics (метрики), Grafana (визуализация), Grafana Loki (журналы).

Компоненты сервера агентов


Получатели событий в сервере агентов

При установке для каждого agent_server в манифесте задаётся один получатель событий:

• MaxPatrol SIEM Server — системные события и события ИБ отправляются в хранилище MaxPatrol 10.
• Хранилище MaxPatrol EDR — события ИБ сохраняются локально в ClickHouse; системные события не сохраняются.
• Syslog-сервер — все события отправляются на указанный syslog-сервер.

⚠️ Важно: на текущий момент для одного сервера агентов поддерживается только один получатель событий. При выборе хранилища MaxPatrol EDR или syslog-сервера локальное сканирование в режиме аудита на подключённых агентах ограничено.

1. Системные модули

Ядро — обязательный модуль, предоставляющий библиотеку среды выполнения для всех остальных модулей.

Работа с файлами и процессами — предоставляет интерфейс для операций с файлами и процессами на конечном устройстве.

2. Модули доставки и установки

Установщик Sysmon — устанавливает и настраивает утилиту Sysmon с конфигурацией от экспертов Positive Technologies. При необходимости конфигурацию можно адаптировать под особенности вашей инфраструктуры. Удаление модуля не затрагивает уже установленную конфигурацию Sysmon на устройстве.

Установщик auditd — устанавливает и настраивает компонент auditd на Linux. При удалении модуля файлы конфигурации и правил на устройстве очищаются.

Конфигуратор аудита Windows — управляет расширенной политикой аудита Windows на рабочих станциях, серверах и контроллерах домена. Базовая конфигурация подготовлена экспертами Positive Technologies и обеспечивает MaxPatrol EDR полными данными для своевременного обнаружения атак. Модуль проверяет соответствие параметров аудита заданным настройкам каждые 30 минут и при необходимости восстанавливает их.

3. Модули сбора

WinEventLog — передаёт события из журнала Windows в модуль «Нормализатор» и сторонние системы.

ETW (Event Tracing for Windows) — запускает сеанс трассировки событий и подписывается на четыре провайдера: WMI-Activity, Kernel-Process, Win32k и Sysmon.

Сбор данных из файлов журналов — читает и передаёт данные из указанных файлов журналов. Поддерживает журналы Windows и Linux. Список обрабатываемых журналов задаётся в параметрах модуля.

Сбор данных с помощью eBPF — загружает eBPF-программы в ядро Linux и собирает данные при выполнении системных вызовов.

Сбор данных для расследования — с помощью специализированной утилиты от PT собирает более 30 типов данных для ретроспективного анализа: файлы реестра, EVTX, prefetch-файлы, таблицы маршрутизации, историю браузеров, списки процессов, служб, RDP-подключений и именованных каналов. Данные отправляются в предварительно настроенное S3-хранилище.

Сбор данных о состоянии системы — фиксирует текущее состояние ОС в момент регистрации события ИБ или по запросу. Позволяет получить списки запущенных процессов, активных сетевых соединений, учётных записей, объектов автозагрузки, а также создать дамп памяти процесса.

Нормализатор — преобразует сырые события от модулей WinEventLog, ETW и сбора файлов журналов в нормализованный формат для последующей обработки другими модулями и отправки в MaxPatrol SIEM.

4. Модули обнаружения

Коррелятор — выполняет поведенческий анализ потока нормализованных событий. При обнаружении подозрительной или вредоносной активности регистрирует события ИБ; при срабатывании ряда правил автоматически создаётся инцидент в MaxPatrol 10. В системе предусмотрены отдельные корреляторы для Windows и Linux.

YARA-сканер — выполняет сигнатурный анализ файлов и процессов на основе YARA-правил. Сканирование может запускаться вручную, по расписанию или автоматически при регистрации соответствующего события.

Проверка файлов по хеш-сумме — сопоставляет хеш-суммы файлов (MD5 и SHA-256) с базой данных новых угроз, которая регулярно обновляется с серверов Positive Technologies. Позволяет обнаруживать угрозы, для которых ещё не написаны YARA-правила и корреляции. Вместо стандартной базы можно подключить собственные данные из CSV-файла или табличного списка.

Обнаружение подозрительных файлов — анализирует нормализованные события и выявляет появление файлов, соответствующих заданным критериям: определённое расширение, путь к каталогу или порождающий процесс.

5. Модули реагирования

Блокировка учётных записей — блокирует локальные учётные записи и завершает их активные сеансы. Длительность блокировки задаётся в параметрах.

Блокировка по IP-адресу — прерывает все сетевые соединения с указанным адресом. Блокировку можно применить на уровне политики, конкретного агента или сразу на обоих уровнях.

Изоляция узла — полностью или частично блокирует сетевой трафик на устройстве. При частичной изоляции сохраняется связь с сервером агентов и адресами из списка исключений.

Перенаправление DNS-запросов (sinkholing) — перенаправляет трафик с вредоносных или подозрительных доменов на указанный IP-адрес через файл hosts.

Карантин — помещает копию подозрительного файла в зашифрованное хранилище на время проверки YARA-правилами или в PT Sandbox. Поскольку в карантин перемещается копия, исходный файл рекомендуется удалять отдельным модулем.

Запуск командной оболочки — позволяет выполнять команды в PowerShell (Windows) или Bash (Linux) прямо из веб-интерфейса MaxPatrol EDR. Все команды сохраняются в журнал. Особенно полезен при расследовании инцидентов на удалённых устройствах.

6. Модули интеграции

Проверка файлов в PT Sandbox — передаёт файлы на анализ в PT Sandbox и сохраняет вердикт в локальных базах всех агентов группы. Перед отправкой проверяется наличие актуального результата (срок актуальности — 7 дней), что позволяет избежать повторных запросов.

Сканирование в режиме аудита (MaxPatrol VM) — выполняет локальное сканирование устройства методом белого ящика: собирает конфигурацию ОС, список установленного ПО, открытые порты и пользователей. Результаты передаются в MaxPatrol VM для формирования перечня уязвимостей и обновления карты сети.

Отправка событий на syslog-сервер — начиная с версии 8.1, отправка выполняется без участия отдельного модуля: параметры syslog-сервера задаются в манифесте, а модуль из политики удаляется.

Отправка файлов — пересылает файлы с конечного устройства во внешнюю систему (например, в стороннюю песочницу) по адресу, заданному в конфигурации.

Для обеспечения комплексной защиты IT-инфраструктуры MaxPatrol EDR может интегрироваться как с продуктами Positive Technologies, так и с системами других производителей. Основные внешние системы и их взаимодействие с MaxPatrol EDR описаны ниже.

PT MC (Management and Configuration)
Обязательный компонент для работы MaxPatrol EDR. Система управления учётными записями и доступом, обеспечивающая единый вход во все продукты Positive Technologies.

Возможности интеграции:

• управление пользователями MaxPatrol EDR: создание учётных записей, назначение ролей, блокировка и активация;
• идентификация, аутентификация и авторизация пользователей;
• журналирование действий пользователей;
• управление лицензиями MaxPatrol EDR.

MaxPatrol SIEM
 Платформа сбора, хранения и анализа событий ИБ, входящая в состав MaxPatrol 10.
Возможности интеграции:

• хранение системных событий и событий ИБ, полученных от MaxPatrol EDR;
• автоматическое создание инцидентов при срабатывании модулей «Коррелятор»;
• запуск реагирования прямо из карточки события в интерфейсе SIEM;
• использование табличных списков MaxPatrol SIEM в правилах MaxPatrol EDR.

MaxPatrol VM
 Система управления уязвимостями, входящая в состав MaxPatrol 10.
Возможности интеграции:

• автоматическая регистрация активов при подключении агента;
• обогащение сведений об активах — по данным из событий EDR и по результатам агентского сканирования.

Агентское сканирование в режиме аудита имеет ряд преимуществ перед сетевым: передаётся только небольшой файл результатов (минимальная нагрузка на сеть), не требуются привилегированные учётные записи для удалённого подключения.
Если в лицензии MaxPatrol 10 отсутствуют функции работы с уязвимостями, агентское сканирование в режиме аудита всё равно доступно. Функции управления уязвимостями в этом случае будут недоступны.

PT KB (Knowledge Base)
 Единая база знаний продуктов Positive Technologies, содержащая пакеты экспертизы: правила, табличные списки, макросы, схему полей событий. Интеграция позволяет создавать и экспортировать пользовательские наборы экспертизы в MaxPatrol EDR для использования в модулях «Коррелятор» и «Нормализатор».

PT Sandbox
 Система многоуровневого анализа файлов и ссылок с использованием статического, динамического, поведенческого и репутационного анализа.
Цепочка передачи файлов: агент → сервер агентов → PT Sandbox. Вердикт становится доступен на всех агентах группы и остаётся актуальным в течение 7 дней. Это исключает повторный анализ уже проверенных файлов и снижает нагрузку на Sandbox.

Сторонние системы

• Syslog — передача системных событий и событий ИБ в любые внешние SIEM-системы или платформы мониторинга.
• Отправка файлов во внешнюю систему — передача артефактов в стороннюю песочницу или систему анализа с соответствующим API. Цепочка: агент → сервер агентов → внешняя система.
• Публичный API — интеграция с IRP/SOAR-платформами для автоматизированного запуска реагирования на конечных устройствах.

MaxPatrol EDR поддерживает два варианта размещения серверных компонентов.

Односерверная конфигурация. Управляющий сервер и сервер агентов устанавливаются на один физический или виртуальный хост. Подходит для тестовых сред и небольших инфраструктур.

Рисунок 5. Схема односерверной конфигурации

Многосерверная конфигурация. Управляющий сервер размещается на отдельном хосте, каждый сервер агентов — на собственном сервере. Применяется при большом количестве конечных устройств и позволяет гибко масштабировать инсталляцию.

Расчётный максимум — 5000 агентов на один сервер агентов (значение протестировано; программного ограничения нет).

Рисунок 6. Схема многосерверной конфигурации

Типовые конфигурации производительности
Исходя из предельных значений критериев система делится на несколько типовых конфигураций производительности, от которых зависит выбор аппаратных требований.


Потребление ресурсов агентом на конечном устройстве зависит прежде всего от набора установленных модулей и интенсивности обрабатываемых событий. Подробные аппаратные требования указаны в Руководстве администратора.

Односерверная схема. PT MC и все компоненты MaxPatrol EDR устанавливаются на один сервер. Рекомендуется для тестовых сред и инфраструктур до 2000 агентов.

Рисунок 7. Односерверная схема
 
Многосерверная схема. PT MC и компоненты управляющего сервера размещаются на основном сервере; компоненты каждого сервера агентов — на отдельных серверах. Компонент observability на сервере агентов опционален. Рекомендуется для средних и крупных инфраструктур, обеспечивает гибкое горизонтальное масштабирование.

MaxPatrol EDR поставляется в нескольких конфигурациях, различающихся набором функциональных модулей. Такой подход позволяет подобрать оптимальный состав продукта под конкретные задачи и не переплачивать за избыточную функциональность.

Мы подробно рассмотрели общую архитектуру решения, из каких компонентов  состоит система, какую конфигурацию лучше выбрать и как лицензируется  продукт. В следующей статье рассмотрим, как установить MaxPatrol EDR.

 Спасибо за прочтение! До встречи в следующих статьях курса!