Архитектура и роли

Актуально для: SimpleZero ID 0.12, SimpleZero Detect (конвейер SIEM) · Проверено: 09.11.2026

Установка SimpleZero — это набор серверных ролей. Роль — служба со своим именем, версией, проверкой здоровья и правилами резервирования. Имена ролей SIEM и SOC начинаются с имени продукта (siem-, soc-): в консоли, где рядом стоят роли других платформ линейки, они читаются сразу.

Как роли попадают на хосты

Роли ставит координатор линейки SimpleOne — тот же, что разворачивает SimpleTwo и SimpleThree. Он работает через своих агентов на хостах. Агент можно установить на хост самостоятельно или доставить с координатора по SSH. Дальше агент сам забирает с координатора желаемое состояние хоста (pull) и принимает его команды (push): ставит и обновляет роли, следит за их здоровьем.

Одна установка может нести роли нескольких платформ: например, SimpleTwo и SimpleZero на одном координаторе.

Роли

Роль	Продукт	Что делает	Где стоит	Резервирование
id	ID	поставщик удостоверений: вход и факторы, SAML и OIDC, источник LDAP и LDAP-сервер, SCIM, консоль и портал	ядро	один узел; база — на хосте, секреты зашифрованы ключом платформы
siem-collector	Detect	принимает syslog, разбирает и нормализует события в схему OCSF, присваивает событию идентификатор, отправляет пачками	площадка клиента	от двух на площадку; буфер на диске на время обрыва связи
siem-ingest	Detect	принимает пачки от сборщиков, по сборщику определяет клиента, проставляет сроки хранения клиента, пишет в шину	ядро	от двух за балансировщиком
siem-bus	Detect	шина событий на NATS JetStream: один поток и два независимых потребителя — корреляция и хранилище	ядро	три узла, каждое сообщение в трёх копиях; поток хранится 24 часа
siem-correlator	Detect	правила Sigma на потоке: одиночные события, счётчики, уникальные значения, последовательности во временном окне; пишет алерты	ядро	от двух; доли потока делятся между узлами по аренде
siem-store	Detect	ClickHouse: события и алерты; горячий слой на локальных дисках, холодный — на втором диске или в S3	ядро	одна копия на шард; сохранность — средствами хранилища платформы виртуализации
siem-search	Detect	поиск и расследование: запросы по нормализованным полям, полнотекстовый поиск, сохранённые поиски, хронология пользователя, хоста или адреса	ядро	от двух за балансировщиком
soc-intake	SOC	превращает алерты в кейсы SimpleOne (группировка, дедупликация), передаёт команды плейбуков исполнителям	ядро	от двух
soc-executor	SOC	выполняет шаги плейбука в EDR, NGFW и ID клиента	площадка клиента	два на площадку; шаг выполняет один, второй подхватывает

Готовность ролей по этапам — в разделе Дорожная карта.

Инфраструктура, которой пользуются роли:

• simplezero:directory — каталог установки: учётные записи, группы, роли и назначения SimpleZero. Это тот же тип роли directory, что и на других платформах линейки; если SimpleZero стоит рядом с SimpleTwo, хранилища связываются.
• S3 — холодный слой событий: хранилище клиента или поставщика услуги.
• Координатор и агенты — установка, обновление, ключи и проверка здоровья всех ролей.

Ключи и доверие

• Один мастер на установку. Мастер-ключ хранится у координатора. Под ним — отдельный ключ платформы SimpleZero: его зашифрованная копия лежит в базе координатора, в её резервных копиях и только на хостах SimpleZero. Утечка хоста SimpleZero раскрывает только SimpleZero.
• Ключ узла. Каждый хост доказывает право на свои ключи подписью ключа узла, который выдаёт агент. Чужой хост не может запросить ключи роли, которой у него нет.
• Свои сессии. ID подписывает сессии и состояние входа собственным ключом, а не общим секретом установки.
• Восстановление. simplezero-id recover --bundle открывает базу ID по листу мастер-ключа установки и связке ключей — из тома координатора, из резервной копии его базы или с любого уцелевшего хоста SimpleZero.

Что происходит при отказах

Гарантия конвейера SIEM: событие, принятое сборщиком, не теряется, пока отказ длится меньше, чем вмещает буфер перед ним. Событие может прийти дважды — хранилище отбрасывает дубль по идентификатору события.

Отказ	Что продолжает работать	Что ждёт
Сборщик	второй сборщик площадки	—
Связь площадки с ядром	сбор событий	доставка: буферы сборщиков на диске держат поток площадки
Узел приёма	остальные узлы приёма	—
Один узел шины	шина (остаются две копии)	—
Вся шина	—	доставка: приём отказывает, сборщики копят события в буфере
Узел корреляции	обнаружение на остальных узлах; доли упавшего узла переходят живым и перечитываются из шины	алерты этих долей — на минуты перечитывания
Хост хранилища	корреляция, алерты, поиск по остальным шардам	этот шард — на минуты перезапуска его ВМ на другом узле: запись ждёт в шине, поиск по нему сообщает об ошибке
Всё хранилище	корреляция и алерты	запись: шина держит поток 24 часа
Поиск	сбор, обнаружение, хранение	поиски аналитиков

Профили установки

Профиль	Для кого	Ядро	Площадка клиента
Пилот	пробная эксплуатация: до 5 000 событий в секунду в среднем, до 10 000 в пике	3 хоста: на каждом siem-bus; siem-store на одном или двух; siem-ingest, siem-correlator, siem-search, soc-intake на двух из них	1–2 сборщика
Стандарт	SOC одной организации: до 20 000 событий в секунду в среднем, до 40 000 в пике	приём, шина, корреляция и поиск на своих хостах (по 2–3); хранилище — 2 шарда	по 2 сборщика на площадку, 2 исполнителя
MSSP	поставщик услуг SOC с многими клиентами: от 20 000 событий в секунду	как «Стандарт», хранилище делится на шарды по нагрузке	на каждой площадке клиента — как «Стандарт»

Размер определяет диск хранилища, а не пропускная способность. 30 дней горячего слоя занимают 3,4–4,2 ГБ в сутки на каждую 1 000 событий в секунду: при 5 000 событий в секунду это 0,5–0,6 ТБ, при 20 000 — 2,1–2,5 ТБ.

Пропускная способность ролей с большим запасом выше этих потоков. На стенде с синтетическими событиями один узел приёма держал 34 600 событий в секунду, шина — 67 400, вставка в хранилище — 81 500, один коррелятор с четырьмя правилами — 29 900. Цифры шины и хранилища упёрлись в сеть стенда 100 Мбит/с.