И
Постгресс перегрузите
попробовал, не помогло, создал тикет.
надо бы понять, что с постгресом
состояние баз надо понять
Size: a a a
2020 August 28
И
есть какие то инструкции как это сделать?
AN
Добрый день!
Имеется тестовый стенд состоящий из SIEM (all in one), Windows 7 и ALT Linux.
1) Подскажите, пожалуйста, правильно ли я понимаю, что инциденты в таком наполнении тестового стенда я смогу создавать лишь в ручную, выбирая события и добавляя их к инциденту?
2) Пробовал проводить сетевое сканирование хоста Windows при помощи nmap, но в SIEM инцидент не появился, да и событий по этому поводу никаких не увидел. Правильно же понимаю что в тестовый стенд нужно добавить IDS/IPS и с него собирать события, чтобы в SIEM автоматически сгенерировался инцидент сетевого сканирования хоста?
Имеется тестовый стенд состоящий из SIEM (all in one), Windows 7 и ALT Linux.
1) Подскажите, пожалуйста, правильно ли я понимаю, что инциденты в таком наполнении тестового стенда я смогу создавать лишь в ручную, выбирая события и добавляя их к инциденту?
2) Пробовал проводить сетевое сканирование хоста Windows при помощи nmap, но в SIEM инцидент не появился, да и событий по этому поводу никаких не увидел. Правильно же понимаю что в тестовый стенд нужно добавить IDS/IPS и с него собирать события, чтобы в SIEM автоматически сгенерировался инцидент сетевого сканирования хоста?
AS
Добрый день!
Имеется тестовый стенд состоящий из SIEM (all in one), Windows 7 и ALT Linux.
1) Подскажите, пожалуйста, правильно ли я понимаю, что инциденты в таком наполнении тестового стенда я смогу создавать лишь в ручную, выбирая события и добавляя их к инциденту?
2) Пробовал проводить сетевое сканирование хоста Windows при помощи nmap, но в SIEM инцидент не появился, да и событий по этому поводу никаких не увидел. Правильно же понимаю что в тестовый стенд нужно добавить IDS/IPS и с него собирать события, чтобы в SIEM автоматически сгенерировался инцидент сетевого сканирования хоста?
Имеется тестовый стенд состоящий из SIEM (all in one), Windows 7 и ALT Linux.
1) Подскажите, пожалуйста, правильно ли я понимаю, что инциденты в таком наполнении тестового стенда я смогу создавать лишь в ручную, выбирая события и добавляя их к инциденту?
2) Пробовал проводить сетевое сканирование хоста Windows при помощи nmap, но в SIEM инцидент не появился, да и событий по этому поводу никаких не увидел. Правильно же понимаю что в тестовый стенд нужно добавить IDS/IPS и с него собирать события, чтобы в SIEM автоматически сгенерировался инцидент сетевого сканирования хоста?
Что такое "инцидент" в вашем понимании?
В SIEM инцидент создаётся из события или целой группы событий по правилу корреляции. Соответственно к нему будут подвязаны все события из которых инцидент был создан. Для этого нужно настроить сбор с данных узлов и ждать когда там что-то произойдёт.
Но чтобы что-то настроить и ждать нужно понять что siem вообще умеет собирать и коррелировать: для этого смотрите подержанные источники в refguide и смотрите какие формулы корреляции есть в правилах knowledge base
В SIEM инцидент создаётся из события или целой группы событий по правилу корреляции. Соответственно к нему будут подвязаны все события из которых инцидент был создан. Для этого нужно настроить сбор с данных узлов и ждать когда там что-то произойдёт.
Но чтобы что-то настроить и ждать нужно понять что siem вообще умеет собирать и коррелировать: для этого смотрите подержанные источники в refguide и смотрите какие формулы корреляции есть в правилах knowledge base
Z
Добрый день!
Имеется тестовый стенд состоящий из SIEM (all in one), Windows 7 и ALT Linux.
1) Подскажите, пожалуйста, правильно ли я понимаю, что инциденты в таком наполнении тестового стенда я смогу создавать лишь в ручную, выбирая события и добавляя их к инциденту?
2) Пробовал проводить сетевое сканирование хоста Windows при помощи nmap, но в SIEM инцидент не появился, да и событий по этому поводу никаких не увидел. Правильно же понимаю что в тестовый стенд нужно добавить IDS/IPS и с него собирать события, чтобы в SIEM автоматически сгенерировался инцидент сетевого сканирования хоста?
Имеется тестовый стенд состоящий из SIEM (all in one), Windows 7 и ALT Linux.
1) Подскажите, пожалуйста, правильно ли я понимаю, что инциденты в таком наполнении тестового стенда я смогу создавать лишь в ручную, выбирая события и добавляя их к инциденту?
2) Пробовал проводить сетевое сканирование хоста Windows при помощи nmap, но в SIEM инцидент не появился, да и событий по этому поводу никаких не увидел. Правильно же понимаю что в тестовый стенд нужно добавить IDS/IPS и с него собирать события, чтобы в SIEM автоматически сгенерировался инцидент сетевого сканирования хоста?
ААААААААААААА.
Z
нет
Z
вы собираете события?
Z
с хоста windows, сетевого оборудования, устройств сканирование которых производилось?
Z
1) сбор событий 2) корреляции по которым будут создаваться инциденты
AS
Тоже была такая первая реакция)
Z
сам по себе сием это сборщик, агрегатор, коррелятор событий, чудес там нет.
Z
и на правила из коробки надеяться тоже не надо, инциденты будут создаваться только по тому чему вы его научите сами.
Z
все остальное тлен и вранье продаванов))
Z
Тоже была такая первая реакция)
😁я чуть ли не вслух
A
и на правила из коробки надеяться тоже не надо, инциденты будут создаваться только по тому чему вы его научите сами.
Сейчас обидно было
Z
Сейчас обидно было
ну это логично)
AS
+
мы тут денно и ночно пакеты экспертизы пилим.
А он "вранье продаванов"
мы тут денно и ночно пакеты экспертизы пилим.
А он "вранье продаванов"
Z
+
мы тут денно и ночно пакеты экспертизы пилим.
А он "вранье продаванов"
мы тут денно и ночно пакеты экспертизы пилим.
А он "вранье продаванов"
вранье вранье) за это я их и не люблю
Z
пакеты экспертизы не могут быть универсальными, кейсы разные у всех как и виденье что нужно детектить и как