Документация Open Defender

Режимы монитора

• blocker - обнаруживает и блокирует источник атаки (бан по времени).
• logger - только фиксирует события, без блокировки.
• disabled - монитор выключен и не запускается.

Ключевые параметры

• engine - источник событий: syslog, journal или docker.
• log_path / unit_name - файл лога для syslog или юнит для journal/docker.
• pattern - регулярное выражение с обязательной группой (?P<ip>...).
• tries / window_seconds / ban_seconds - порог попыток, окно и длительность бана.
• ip_whitelist - адреса, которые никогда не блокируются.
• Для resource_monitor - пороги warning/alert по CPU и RAM (нулевые значения выключают лимит).

sudo nano /etc/open-defender/config.yaml

Настройка

Секция exporter в /etc/open-defender/config.yaml. Значения user_id, config_id и публичный ключ выдаёт дашборд вместе с готовым конфигом.

exporter:
  enabled: true
  endpoint_address: connector.light-defender.ru
  user_id: <ваш user_id из дашборда>
  config_id: <ваш config_id из дашборда>
  endpoint_rsa_public_key: <публичный ключ дашборда, base64>

• enabled - включает коннектор.
• endpoint_address - адрес WebSocket-эндпоинта дашборда.
• user_id / config_id - идентификаторы агента, уходят в каждом сообщении.
• endpoint_rsa_public_key - ключ, которым шифруется всё, что агент отправляет наверх.

Шифрование

Одно WebSocket-соединение, каждый кадр в нём - зашифрованный JSON-конверт. Симметричный ключ шифруется RSA-OAEP/SHA-256, тело - AES-256-GCM.

[ RSA(aes_key) ][ nonce, 12 байт ][ ciphertext ]

• Пара ключей агента - RSA-2048, генерируется на каждую сессию и никогда не пишется на диск.
• Агент шифрует сообщения ключом дашборда, дашборд - сессионным ключом агента, который тот передаёт в system/hello.
• После переподключения сессионный ключ другой, поэтому кадры прошлой сессии расшифровать уже нельзя.

Обмен сообщениями

  агент                                  дашборд
    |                                        |
    |  WebSocket, endpoint_address           |
    |--------------------------------------->|
    |                                        |
    |  system/hello                          |
    |  сессионный публичный ключ агента      |
    |--------------------------------------->|
    |                                        |
    |          config/set_config             |  не позже
    |<---------------------------------------|  30 секунд
    |                                        |
    |  system/ack   ok | error               |
    |--------------------------------------->|
    |                                        |
  ==+============ сессия открыта ============+==
    |                                        |
    |  alert/raised   одно событие           |  без
    |--------------------------------------->|  подтверждений
    |                                        |
    |          config/get_config             |
    |<---------------------------------------|
    |  config/config   текущий конфиг        |
    |--------------------------------------->|
    |                                        |
    |          config/set_config             |
    |<---------------------------------------|
    |  system/ack, запись config.yaml,       |
    |  перезапуск и новая сессия             |
    |--------------------------------------->|
    |                                        |
    |          ping, каждые 30 секунд        |
    |<---------------------------------------|
    |  pong                                  |
    |--------------------------------------->|

Порядок рукопожатия фиксирован: hello, затем set_config, затем ack. Дальше порядок свободный: агент шлёт события по мере их появления и отвечает на запросы дашборда.

Событие

{
  "version": 2,
  "task_id": 0,
  "service": "alert",
  "operation": "raised",
  "configuration_id": "...",
  "user_id": "...",
  "payload": {
    "events": [
      {
        "source": "ssh_monitor",
        "ip": "203.0.113.7",
        "message": "ssh_monitor -> found offenders ip ...",
        "happened_at": "2026-07-24T10:15:00Z",
        "details": { "engine": "syslog", "source": "/var/log/auth.log" }
      }
    ]
  }
}

Поле source называет монитор: ssh_monitor, web_brute_monitor, web_recon_monitor, database_monitor, network_antirecon, resource_monitor или ip_ban. У resource_monitor дополнительно приходит severity и метрика с порогом.

Тайминги и лимиты

• Подключение - 15 секунд, рукопожатие - 30 секунд на сообщение.
• Чтение - 90 секунд, таймер обновляется каждым ping от сервера.
• Максимальный размер кадра - 1 МБ.
• Переподключение - 5 секунд, плюс 10 секунд за каждую неудачу, не больше 100 секунд. После успешного подключения счётчик сбрасывается.
• Очередь на отправку - 1024 конверта. Если она переполнена, события отбрасываются: мониторы не ждут сеть никогда.
• Недоступный эндпоинт не ломает защиту: агент просто повторяет попытки в фоне.