19–25 октября 2026

Актуально для: SimpleZero ID 0.4–0.10, SimpleZero Detect · Проверено: 09.11.2026

SimpleZero Detect

Конвейер от источника до хранилища

Сборщик siem-collector: syslog по UDP, TCP и TLS (RFC 5424, RFC 3164, рамки RFC 6587), нормализация в OCSF, идентификатор события, отправка пачками.
Буфер сборщика на диске: пачка лежит, пока приём её не подтвердит, и переживает перезапуск; при переполнении вытесняются самые старые.
Приём siem-ingest: по токену сборщика определяет клиента и его сроки хранения, отвечает сборщику только когда пачку держит шина.
Шина на NATS JetStream и запись в ClickHouse siem-store: схема событий и алертов, сроки хранения из настроек клиента, удержание по требованию.
Идентификатор события хранится как 64-битное число — первые 8 байт хэша сборщика.
Шина держит поток 24 часа; приём и сборщик предупреждают, если буфер меньше нужного.

Корреляция

siem-correlator: правила Sigma и корреляции Sigma v2 — счётчики, уникальные значения, последовательности во временном окне; неподдерживаемое в правиле отвергается при загрузке.
Первые правила: перебор SSH и вход после перебора, перебор и распыление паролей Windows, закодированные команды PowerShell.
Доли потока: каждый клиент закреплён за долей; новый — в наименее нагруженную; перенос — siem-ingest shares move.
Несколько корреляторов делят доли через аренду; доли упавшего узла переходят живым.
Окна восстанавливаются при старте перечитыванием шины.

Пилотный стенд

Развёртывание, генератор синтетических событий siem-loadgen и первые замеры: один узел приёма — 34 600 событий в секунду, шина — 67 400, вставка в ClickHouse — 81 500, коррелятор с четырьмя правилами — 29 900.
Профили установки «Пилот», «Стандарт», «MSSP» и размеры буферов — см. Архитектура и роли.

Ключи и доверие

Секреты интеграций зашифрованы ключами, производными от ключа платформы SimpleZero (ID 0.4).
Ключ узла (0.5): ID запрашивает свои ключи у координатора токеном, подписанным ключом своего узла, а не общим секретом установки. Сессии и состояние входа ID подписывает своим ключом.
simplezero-id recover --bundle (0.5.1): восстановление по листу мастер-ключа установки и связке ключей.
Сборки ID публикуются только для linux/amd64.

Каталог

Схема атрибутов — общая для линейки (0.6): SCIM 2.0 Core и Enterprise плюс расширение SimpleZero. Новые атрибуты: имя по частям, предпочитаемый язык, табельный номер, место возникновения затрат, подразделение, полное имя на родном языке.
Дерево «организации → отделы → люди» (0.7): организации в корне, отделы под ними, одно место у человека; место, назначенное администратором, сильнее синхронизации.
SCIM по схеме линейки (0.8): все атрибуты в обе стороны, полный язык фильтров RFC 7644, описания схем и типов ресурсов.
Дерево внутрь и наружу (0.9): источник LDAP раскладывает людей по OU и department; подразделение уходит в OIDC и SAML (org_unit, org_unit_name, org_units), в LDAP-сервер и в SCIM.
Изоляция организаций (0.10): люди изолированных организаций не видят друг друга; интеграции ограничиваются поддеревом. В консоли — раздел «Структура».