Sublime Security Strelka Manager 镜像文档

1. 镜像概述和主要用途

Strelka Manager 是 Sublime Security 开源恶意软件分析平台 Strelka 的核心组件，负责集群管理、任务调度与配置分发。该镜像提供预配置的 Strelka Manager 运行环境，用于协调 Strelka Worker 节点执行文件分析任务，实现大规模恶意软件样本自动化检测与分析流程的集中管控。

2. 核心功能和特性

• 集群节点管理：自动发现、注册与监控 Strelka Worker 节点，支持动态扩缩容
• 任务调度与负载均衡：基于节点资源利用率分发文件分析任务，避免单点过载
• 配置集中管理：统一管理 Worker 节点的分析规则、引擎参数与策略配置
• 元数据存储：记录任务状态、分析结果与节点健康数据（依赖 PostgreSQL 数据库）
• API 接口：提供 RESTful API 用于任务提交、状态查询与集群配置管理
• 日志与审计：支持结构化日志输出，记录任务生命周期与系统操作审计信息

3. 使用场景和适用范围

• 企业级恶意软件分析平台：自动化处理海量可疑文件样本，集成威胁情报系统
• 邮件安全网关：对接邮件服务器，实时扫描附件中的恶意代码与可疑文件
• 云存储安全防护：监控对象存储服务（如 S3、MinIO）中的文件，检测潜在威胁
• 安全运营中心（SOC）：为事件响应提供自动化初步分析，加速威胁研判流程
• 学术与研究机构：批量分析恶意软件样本，提取行为特征与家族归属

4. 使用方法和配置说明

4.1 环境要求

• Docker 20.10+ 或 Kubernetes 1.21+
• 最低资源配置：2 CPU 核心、4GB 内存、10GB 磁盘空间
• 依赖服务：
  • PostgreSQL 13+（存储任务元数据与配置）
  • Kafka 2.8+（任务消息队列，用于 Manager 与 Worker 通信）

4.2 快速启动（Docker Run）

docker run -d \
  --name strelka-manager \
  --network strelka-net \  # 需提前创建包含 Kafka/PostgreSQL 的网络
  -p 8080:8080 \           # API 端口映射
  -v /host/path/to/config:/etc/strelka \  # 挂载本地配置文件
  -e STRELKA_ENV=production \
  -e STRELKA_DB_HOST=postgres \
  -e STRELKA_DB_PORT=5432 \
  -e STRELKA_DB_USER=strelka \
  -e STRELKA_DB_PASSWORD=secure_password \
  -e STRELKA_KAFKA_BROKERS=kafka:9092 \
  -e STRELKA_API_PORT=8080 \
  sublimecontainers/strelka-manager:latest

4.3 Docker Compose 部署示例

version: '3.8'

services:
  postgres:
    image: postgres:14-alpine
    environment:
      POSTGRES_USER: strelka
      POSTGRES_PASSWORD: secure_password
      POSTGRES_DB: strelka
    volumes:
      - postgres-data:/var/lib/postgresql/data
    networks:
      - strelka-net

  kafka:
    image: confluentinc/cp-kafka:7.3.0
    environment:
      KAFKA_ADVERTISED_LISTENERS: PLAINTEXT://kafka:9092
      KAFKA_OFFSETS_TOPIC_REPLICATION_FACTOR: 1
      KAFKA_ZOOKEEPER_CONNECT: zookeeper:2181
    depends_on:
      - zookeeper
    networks:
      - strelka-net

  zookeeper:
    image: confluentinc/cp-zookeeper:7.3.0
    environment:
      ZOOKEEPER_CLIENT_PORT: 2181
    networks:
      - strelka-net

  strelka-manager:
    image: sublimecontainers/strelka-manager:latest
    ports:
      - "8080:8080"
    volumes:
      - ./strelka-config:/etc/strelka
    environment:
      STRELKA_ENV: production
      STRELKA_DB_HOST: postgres
      STRELKA_DB_PORT: 5432
      STRELKA_DB_USER: strelka
      STRELKA_DB_PASSWORD: secure_password
      STRELKA_KAFKA_BROKERS: kafka:9092
      STRELKA_API_PORT: 8080
      STRELKA_LOG_LEVEL: info
    depends_on:
      - postgres
      - kafka
    networks:
      - strelka-net

networks:
  strelka-net:

volumes:
  postgres-data:

4.4 环境变量配置

4.5 配置文件说明

通过挂载本地目录（如 /host/path/to/config:/etc/strelka）提供自定义配置，核心配置文件包括：

manager.yaml（核心配置）

cluster:
  worker_heartbeat_timeout: 30s  # 节点心跳超时阈值
  task_retry_limit: 3            # 任务失败重试次数
  max_concurrent_tasks: 1000     # 集群最大并发任务数

task_queue:
  topic: strelka_tasks           # Kafka 任务队列主题名
  partition_count: 12            # 主题分区数（影响并发度）

api:
  read_timeout: 15s              # API 请求读取超时
  write_timeout: 30s             # API 响应写入超时
  idle_timeout: 60s              # 连接空闲超时

rules.yaml（分析规则配置）

定义文件类型与分析引擎的映射关系，例如：

filetypes:
  - name: "PE"
    engines: ["peid", "yara", "floss"]
    max_size: 10485760  # 10MB
  - name: "PDF"
    engines: ["pdfid", "yara"]
    max_size: 5242880   # 5MB

5. 常见问题与故障排除

• Worker 节点无法注册：检查 Kafka 连接状态（STRELKA_KAFKA_BROKERS）及网络连通性，确认节点防火墙规则
• 任务堆积未分发：检查 manager.yaml 中 max_concurrent_tasks 是否过小，或 Worker 节点资源不足
• API 访问拒绝：验证 STRELKA_API_KEY 是否正确，或通过 STRELKA_LOG_LEVEL=debug 查看认证日志
• 数据库连接失败：使用 docker exec -it <container_id> ping <db_host> 测试网络连通性，检查数据库用户权限

6. 相关资源

• 官方文档：Strelka GitHub
• 镜像仓库：Docker Hub - sublimecontainers/strelka-manager
• 社区支持：Strelka Slack