Телеграмм чат группы MPSIEMChat страница 1049

Да не просто молодец, а красава!
Только теперь нужно ещё большим числом русскоязычного комьюнити поддержать приближающийся спринт №2 OSCD.
https://oscd.community/index_ru.html

источник

15:13пожаловаться #6

Z

Zer🦠way in MaxPatrol SIEM

Roman Sergeev

Ну да, к твиттеру добавился ещё один источник

❓в чем это всё агрегировать? где вести бэклог и лучше автоматически добавлять информацию

источник

15:14пожаловаться #7

RS

Roman Sergeev in MaxPatrol SIEM

Zer🦠way

❓в чем это всё агрегировать? где вести бэклог и лучше автоматически добавлять информацию

Ну вот как бэклог, да.
Я же не хейчу. Просто в отличие от других инициатив (atc, art) тут достижение цели шаринга готовых детектов мне кажется маловероятным. А тогда зачем этот dsl?

источник

15:18пожаловаться #8

Z

Zer🦠way in MaxPatrol SIEM

Roman Sergeev

Ну вот как бэклог, да.
Я же не хейчу. Просто в отличие от других инициатив (atc, art) тут достижение цели шаринга готовых детектов мне кажется маловероятным. А тогда зачем этот dsl?

поспорил бы) но не сейчас

источник

15:21пожаловаться #9

Z

Zer🦠way in MaxPatrol SIEM

работать надо

источник

15:21пожаловаться #10

A

Aleksandr in MaxPatrol SIEM

Коллеги, подскажите, а можно как-то сравнить кусок поля из события с ячейкой табличного списка? Например, в событии полное имя до файла, а в списке только имя файла.

источник

19:07пожаловаться #11

A

Aleksandr in MaxPatrol SIEM

Давно правила не писал, сходу в гайде не нахожу

источник

19:08пожаловаться #12

m

max in MaxPatrol SIEM

Aleksandr

Коллеги, подскажите, а можно как-то сравнить кусок поля из события с ячейкой табличного списка? Например, в событии полное имя до файла, а в списке только имя файла.

Вырезать нужную часть (find_substr/regex/etc) и свести задачу к уже решённой?)

источник

19:09пожаловаться #13

A

Aleksandr in MaxPatrol SIEM

это прямо в exec_query сделать можно?

источник

19:10пожаловаться #14

Z

Zer🦠way in MaxPatrol SIEM

Блин правило писал на днях

источник