Телеграмм чат группы MPSIEMChat страница 1039

2020 July 02

AS

Может я скажу полную хрень, но я ставлю используя два сервера:
Windows -Core, SIEM, Adent там же идут компоненты Event Storage и PTKB в составе ядра
Linux - UCS и CP

да не, не хрень. Просто мы высоконагруженные обсуждаем

источник

13:05пожаловаться #1

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

Dmitry Radyuga

Это схема из руководства по внедрению для SIEM версии 18

так это же высоконагруженная система более 9000 событий

источник

13:05пожаловаться #2

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

а не так понял

источник

13:05пожаловаться #3

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

просто тут про минимальный конфиг был

источник

13:05пожаловаться #4

m

max in MaxPatrol SIEM

🎅 Klaudiusz Lapinski

Может я скажу полную хрень, но я ставлю используя два сервера:
Windows -Core, SIEM, Adent там же идут компоненты Event Storage и PTKB в составе ядра
Linux - UCS и CP

Логичнее тогда и SIEM Server с SIEM Storage тоже на Linux вынести. Хотя зависит от ресурсов.

источник

13:06пожаловаться #5

c

cinortoce in MaxPatrol SIEM

Кажется кто-то слишком буквально воспринимает схемы в мануалах )

источник

13:06пожаловаться #6

DR

Dmitry Radyuga in MaxPatrol SIEM

Dmitry Radyuga

А вот эта схема для версии 21

Коллеги, может кто-нибудь объяснит зачем для SIEM версии 21 целых ТРИ компонента MP Agent... Они что, в 😂кластере работают?

источник

13:07пожаловаться #7

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

вообще система эта трансформируется под каждую сеть, мне кажется что вам лучше обратиться за помощью в техподдержку они помогут правильно сконфигурировать

источник

13:08пожаловаться #8

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

Dmitry Radyuga

Коллеги, может кто-нибудь объяснит зачем для SIEM версии 21 целых ТРИ компонента MP Agent... Они что, в 😂кластере работают?

нет, можете и один агент, просто нагрузка большая

источник

13:08пожаловаться #9

AS

Alexander Stepanov in MaxPatrol SIEM

Dmitry Radyuga

А вот эта схема для версии 21

Кажется тут описан настоящий ТРУ-выосоконагруженный SIEM. Предположу, что с одним агентом 35к EPS вытянуть будет сложновато, минимум три надо.

источник

13:08пожаловаться #10

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

Dmitry по логиге 1 агент вытягивает 3000 событий, если высоконагруженная система от 9000 и выше то конечно 3 агента нужно

источник

13:09пожаловаться #11

AS

Alexander Stepanov in MaxPatrol SIEM

ну да, +там написано не менее трёх, а не три ;) реально всё зависит от EPS. А если у Вас поток небольшой, то может и правда средненагруженной хватит.

источник

13:11пожаловаться #12

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

тут можно разделить их работу или территориально (один вытягивает события из головного офиса, второй из филиала, третий из второго филиала) или предназначаться для группы конкретный активов ( один агент все сгребает с AD, второй с коммутаторой, третий с рабочих станций)

источник

13:11пожаловаться #13

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

Dmitry перед внедрением был пилот с представителями компании? перед пилотом заполняется документ в на основании которого разработчик может предварительно рассчитать количество событий и дать совет какую схему применять. В одном из документов по проведению пилотов была заметка, что грубо 1 источник это 3 события

источник

13:14пожаловаться #14

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

🎅 Klaudiusz Lapinski

Dmitry перед внедрением был пилот с представителями компании? перед пилотом заполняется документ в на основании которого разработчик может предварительно рассчитать количество событий и дать совет какую схему применять. В одном из документов по проведению пилотов была заметка, что грубо 1 источник это 3 события

если у вас 3000 источников то не стоит удивляться - это не так много для такой сети

источник

13:14пожаловаться #15

A

Anryal in MaxPatrol SIEM

один агент примерно 10к епс может

источник

13:19пожаловаться #16

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

Anryal

один агент примерно 10к епс может

? в минимальной конфигурации используется 1 агент, а она рассчитана на 3000 событий

источник

13:20пожаловаться #17

A

Anryal in MaxPatrol SIEM

1/3 агента просто нельзя использовать

источник

13:20пожаловаться #18

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM

Anryal

1/3 агента просто нельзя использовать

sticker.webp

(38.57 Кб)

источник

13:25пожаловаться #19

DR

Dmitry Radyuga in MaxPatrol SIEM

🎅 Klaudiusz Lapinski

Dmitry перед внедрением был пилот с представителями компании? перед пилотом заполняется документ в на основании которого разработчик может предварительно рассчитать количество событий и дать совет какую схему применять. В одном из документов по проведению пилотов была заметка, что грубо 1 источник это 3 события

Пилота не было (сами с усами). Хочется освоить все тайны SIEM без привлечения разработчиков. А то как нужно разработать/внедрить внедрить SIEM, то постоянно: либо в доках не описано (или написано между строк), либо нужны заклинания (помощь) от разработчика. Всем спасибо за ответы!👍

источник

13:49пожаловаться #20