FAQ: безопасность, маскирование и анализ трафика
40 быстрых ответов о настройках, решениях и типовых ошибках.
Используйте оглавление или поиск по вопросу. Каждый ответ ведёт непосредственно к полю настройки и подробной инструкции.
Как отключить маскирование?
verdict_classes / «Только классы вердикта» не выключает замену: меняется повторный поиск. Для изменения обработки конкретного класса меняйте правило политики и проверяйте итоговое действие, режим ключа и остальные активные правила.
Как отключить анализ трафика?
Отключение автообновления, ленты или уведомлений не останавливает инспекцию. Выберите нужный механизм: действие политики, режим ключа Router, экспорт или хранение контента; общего переключателя этих механизмов нет.
Чем отличаются auto и verdict_classes?
Auto повторно ищет известные приватные значения; verdict_classes опирается на классы первичного вердикта. Оба допускают замену. off / false в совместимых masking-параметрах означают verdict_classes.
Что такое KEY_N и почему замены отличаются между запросами?
KEY_N — плейсхолдер словаря замены. Стабильность зависит от сессии маскирования, её владельца, TTL и хранилища. Используйте поддерживаемый session_id для диалога; истёкшая или другая сессия может иметь другой словарь.
Почему вместо маскирования получилась блокировка или on-prem?
Вердикт может быть немаскируемым: заменить отдельные значения недостаточно, чтобы убрать конфиденциальный смысл. Тогда система повышает изоляцию; при отсутствии пригодного закрытого маршрута возможна блокировка. Проверьте reason и доступность провайдеров.
Что делать при ложном срабатывании DLP или injection?
Найдите Request ID, вердикт, point и победившее правило; воспроизведите на учебном обезличенном примере. Уточните конкретный детектор или scope правила на staging и повторите положительные/отрицательные проверки. Не отключайте всю защиту ради одной записи.
Почему в аудите нет исходного текста?
Метаданные могут храниться без исходного контента. Проверьте включён ли сбор, права на чтение, retention и наличие записи в отдельном хранилище. Ранее несохранённый или удалённый текст не восстановится включением сбора сейчас.
Отключает ли 0 дней запись аудита?
Нет. 0 выключает автоматическую очистку записей, а не запись новых решений. TTL сессии маскирования и retention исходного контента регулируются отдельно.
Пауза или Откл отключают защиту?
В отчётах это остановка отображения/обновления. Пауза политики Secure прекращает участие конкретной политики; другие политики остаются. Всегда проверяйте, к какому объекту относится кнопка.
Почему в отчёте нет событий?
Проверьте tenant, время UTC, фильтры, выбранный источник и наличие реального трафика. Ring buffer ограничен размером и перезапуском. Ошибка 503 — недоступность источника, не подтверждение отсутствия угроз.
Что делать с 401 или 403?
401: восстановите сессию либо проверьте inference-ключ, срок и отзыв. 403: проверьте роль, tenant-scoped права и редакцию функции. Ключ для /v1 не заменяет административную сессию консоли.
Почему настройки не сохраняются: 422?
Сервер отверг документ. Прочитайте ошибку: действие, значение условия, scope или отсутствующий fallback. Сверьте JSON с каноническим контрактом; варианты устаревшей формы могут отличаться. Отклонённая запись не считается применённой.
Почему нет раздела или кнопки редактирования?
Проверьте роль пользователя, редакцию/лицензию и подключённые компоненты. Наличие раздела в справочнике не выдаёт права и не включает Preview-runtime. Сначала уточните доступ у администратора своей организации.
Если выключить Alert Rules или webhook, DLP продолжит работать?
Да: правило оповещения считает события, а подписка доставляет их. Инспекция, защитные действия политики и запись аудита — отдельные механизмы.
Почему webhook не доставляет события?
Проверьте enabled, список событий, URL и подтверждение подписи у получателя. В deliveries смотрите HTTP-ответ/ошибку; ping/replay действительно отправляют событие. Генерация alert не доказывает получение.
Как настроить таймаут или circuit breaker классификатора?
Эти параметры меняет оператор сервиса; Classifier Health показывает состояние и историю. Передайте нужное значение и единицу измерения, затем проверьте отказ/восстановление и решение запроса на staging.
Как включить или отключить конкретную политику?
Политики → выберите свой документ → Активировать либо Редактировать документ → Статус: Активна → Сохранить политику. Для временного исключения — Поставить на паузу, для возврата — Активировать. Hosted-реплики перечитывают общий PostgreSQL без ручного reload. Проверьте новый запрос своего tenant; другие политики могут продолжать блокировку.
Как наблюдать срабатывания без блокировки?
Настройте flag в конкретном правиле и узком scope. Это пропускает текст с отметкой; более строгие активные политики всё равно побеждают. Проверьте окончательное действие, а не только выбранный пункт редактора.
Почему allow не отменяет block другой политики?
Между активными политиками выбирается самое строгое действие: allow < flag < mask < reroute < block. Внутри одной политики — первое совпадение. Изучите policy_id/rule_id результата.
Что будет, если ни одно правило не совпало?
При доступной инспекции результат allow. При отказе инспекции — fail-closed. Добавьте нужное покрытие условий и scope и проверьте «чистые», приватные и аварийные примеры на staging.
Как добавить собственный regex или keyword?
Оператор подключает JSON patterns с id/name/check/severity и regex/keywords через IAM_SEC_CUSTOM_DLP_PATH. Custom DLP → Перезагрузить → Проверить. В справочнике есть готовый файл и положительные/отрицательные примеры. Затем правило по найденному ID; ошибка reload сохраняет прежний набор.
Как проверять ответы модели и вывод инструмента?
Укажите point=response или tool_output в интеграции и тесте; правила с point должны совпадать. Прокси chat/completions проверяет настроенный поток, standalone inspect только возвращает решение для исполнения вашим приложением.
Пакетная инспекция меняет трафик приложения?
Нет, это dry-run корпуса без вызова LLM. Проверяйте каждый элемент и ошибки; приложение отдельно исполняет решения. Batch не включает перехват другого приложения.
Как включить или отключить SIEM?
SIEM → Endpoint и Format → переключатель «Включить SIEM экспорт» → Сохранить. Тестовая доставка доступна после включения. Отключение прекращает экспорт, оставляя аудит и инспекцию.
Закрытие инцидента или ложное срабатывание отменяет правило?
Нет, это состояние расследования. Политику или детектор изменяют отдельно и проверяют новым запросом. Исходный заблокированный запрос не становится выполненным от изменения статуса инцидента.
Почему политика для приложения не сработала?
Непустые scope.apps и scope.groups в выпущенной версии отвергаются с 422, а поля формы отключены с пояснением: доверенной привязки для исполнения нет. Используйте конкретный scope.tenant. Старые версии могли сохранять эти списки без ограничения исполнения; не полагайтесь на них. Фильтр отчёта и Контекст не создают изоляцию.
Какой порог блокировок задавать: 50 или 0.5?
Инциденты → Коррелятор → Настроить: в поле «Блокировки %» — 50; API block_rate_threshold — 0.5. API принимает долю >0 и ≤1. При 5 блокировках из 10 записей порог достигнут, если выполнен минимум запросов. Нажмите «Применить» и перечитайте значения.
Почему коррелятор не создал новый инцидент сразу?
Пороги проверяются на следующем проходе (исходно раз в 60 секунд). Проверьте tenant, окно, минимум записей и Dedup: повтор той же пары правило+tenant подавляется на окно. Анализируется до 2000 последних записей; зелёная точка не доказывает свежий проход. Коррелятор не меняет решение запроса.
Ограничивает ли tenant-фильтр пользовательский DLP-детектор?
Нет. Детекторы файла patterns общие для шлюза. Ограничивайте действие через конкретный scope.tenant и проверяйте другую организацию. Непустые scope.apps/groups отвергаются с 422. У детектора есть check, severity, regex/keywords, но нет поля sensitivity.
Клиент создан, но приглашение не пришло — создавать заново?
Сначала Клиенты · администрирование → Обновить: сохранение аккаунта и отправка письма — разные этапы. Если запись существует, исправьте доставку и нажмите Отправить приглашение в её карточке. Не создавайте дубликат. Уведомить о сохранённых настройках отправляет отдельное письмо; включение флага само письмо не отправляет.
Как временно закрыть клиенту доступ и затем вернуть?
Клиенты · администрирование → строка клиента → снять Доступ разрешён → Сохранить настройки. Перечитайте запись и проверьте отказ клиентской сессии/ключа. Для восстановления включите флаг, сохраните и повторите вход. Фильтр tenant и выключение email-уведомлений не закрывают доступ.
Как убедиться, что настройка реально применена?
После Сохранить перечитайте серверный JSON и выполните новый обезличенный запрос: Request ID, action, policy_id/rule_id. Hosted-версия 15.10.2026 читает сохранённые политики из общего PostgreSQL на всех репликах без ручного reload. Администратор проверяет каждую реплику; при недоступном хранилище запись не подтверждается, инспекция блокируется. При 200/404 отмените пустую форму и сообщите оператору ID и время.
Почему поле срока хранения неактивно?
Проверьте supported/enabled в фактическом ответе gateway. Если версия требует квалифицированный архив и сообщает supported=false, очистка не включается, даже если старое число дней видно. Оператор подключает предусмотренный процесс хранения. Срок исходных запросов и TTL маскирования задаются отдельно; данные не удаляйте ради проверки.
Чем пороги Alert Rules отличаются от коррелятора?
Alert Rules: threshold ≥1 событий за window_minutes ≥1 минут, cooldown ≥0; example 10 DLP за 5 минут. Коррелятор: injection/DLP burst, минимум запросов, доля блокировок и окно в секундах; example 50% при 10 запросах за 600 секунд. Первый уведомляет, второй создаёт групповой инцидент; ни один не задаёт action запроса.
Как проверить несколько текстов и не пропустить ошибку элемента?
Пакетная инспекция → Строки (одна непустая строка на элемент) либо JSON-массив id/text/point/context, максимум 1000. Запустить инспекцию → раскрыть каждую строку → Экспорт CSV. Проверьте ID, число результатов и error каждого элемента: успешный HTTP не означает успех всех строк. Это dry-run без генерации LLM.
Где изменить Redis, шифрование и TTL словаря маскирования?
Маскирование показывает Session backend, encrypted и TTL только для чтения. Меняет их оператор конфигурации сервиса. Сохранить на этом экране меняет лишь auto/verdict_classes; не включает Redis и не мигрирует словарь. Проверьте фактическое хранение и mask/demask на нужных репликах.
Почему в строке block, а счётчик «Заблокировано» равен нулю?
В старой консоли сводка учитывала только имя blocked, хотя сервер возвращает каноническое block. Проверяйте решение каждой строки и исходный JSON, а не только карточку счётчика. В консоли, выпущенной на staging и production 15.10.2026, контроль из двух текстов показал Всего 2, Заблокировано 1: обычный вопрос разрешён, инъекция заблокирована. Исправление интерфейса само по себе не меняет серверную политику.
Почему экран инцидентов пустеет после автообновления?
В старой консоли автоматически созданный инцидент policy_violation мог вызвать ошибку отображения. Консоль, выпущенная на staging и production 15.10.2026, распознаёт этот серверный тип и пустые массивы доказательств. Открытие и отмена настроек коррелятора проверены на реальном инциденте. Если ошибка остаётся, обновите страницу и сообщите оператору время, URL и ID инцидента без содержимого запросов; менять пороги или отключать защиту для этого не нужно.
Проверены ли сохранение между репликами и переключение маскирования?
Да. Сервер выпущен в hosted staging и production после 642 тестов шлюза, 315 тестов общего ядра с PostgreSQL и проверки рабочих сценариев. На общем staging UI-сохранение и active → block → paused → active подтвердились на обеих репликах без reload. На отдельном изолированном стенде сохранность политики и режима выдержала замену обоих pod; UI auto → verdict_classes → auto, замена email на [CONTACT] и отсутствие вызова получателя при block проверены. Сохранность Redis после потери хранилища и все классы замен этой проверкой не подтверждаются.
Нужны ли шлюзу Secure права суперпользователя PostgreSQL?
Нет. Шлюз работает с ограниченными DML-правами, без владения схемой и административных ролей. Миграции выполняет отдельный администратор, запуск gateway использует IAM_DB_SCHEMA_MODE=verify, резервные копии — отдельную роль только для чтения. Клиентские API-ключи не дают доступ к БД.