Коллеги, привет!
Есть ли в утилите kb_import возможность добавления новых строк из импортируемого ТС в существующий ТС? Или пока это возможно делать только костылями через API?
Пример кейса - на несколько инсталляций PTKB необходимо добавить в существующие ТС строки с новыми IoC, исключениями и т д.

Коллеги, добрый день
Подскажите куда посмотреть: сием жалуется, что ивент стораж отвечает с задержками или недоступен, после ребута сервиса стоража и вотчдога на коре, на какое то время пропадает ошибка, а потом снова
По озу: 128 всего - 44 свободно

добрый

смотреть в лог watchdog

чтобы понять на какой чек приходит ошибка

в какой конфигурации развернут мпх сием ?

Сием и стораж на дебиане, кор и агент на винде

128 озу

При этом епс 350-400

тогда посмотрите на что ругается в Watchdog.Core.log (путь по умолчанию C:\ProgramData\Positive Technologies\MaxPatrol SIEM Core\Logs)
Можно через power shell:
gc "C:\ProgramData\Positive Technologies\MaxPatrol SIEM Core\Logs\Watchdog.Core.log" -Tail 100

Спасибо, оказывается эластик просто погиб

смотреть логи эластика

Коллеги, добрый день. Подскажите, а где можно взять руководство по внедрению MP SIEM версия 21.0 (крайняя сертифицированная ФСТЭК версия SIEM)? Если у кого то есть и сможете прислать - буду благодарен. Вопрос в связи с тем, что не нашел "Руководства по внедрению" в составе сертифицированного ФСТЭК дистрибутива MP SIEM версия 21.0 (скриншот из формуляра прикладываю)

отвечу в ЛС

UP
Я правильно понял, что нет такой возможности?

Спасибо, получил. С удивлением обнаружил существенные изменения требуемого количества серверов при  развертывании SIEM на одной площадке оператора (для высоконагруженных систем):  для версий 18 требовалось 3 сервера, для версии 21 требуется целых 7. Кто-нибудь знает какая совокупная  производительность может быть обеспечена при такой организации схемы в ЦОД на базе SIEM версии 21 (если удовлетворить строго всем минимальным требования к аппаратному обеспечению)?

Из краегольных компонентов те же три сервера:
Core - SIEM Server - Event Storage
PTKB идёт вместе с Core. Агенты могут стоять с Core или отдельно. Остальное - доп компоненты. Откуда именно 7 то?

Это схема из руководства по внедрению для SIEM версии 18

Может я скажу полную хрень, но я ставлю используя два сервера:
Windows -Core, SIEM, Adent там же идут компоненты Event Storage и PTKB в составе ядра
Linux - UCS и CP

А вот эта схема для версии 21