Телеграмм чат группы MPSIEMChat страница 1258

Size: a a a

MaxPatrol SIEM & VM

2020 December 21

Понятно.
Хорошо, фиг с этим. Просто даже если во вкладке событий через pdql запрос искать нужные события, то он их не находит

А правила нормализации под них есть вообще? Хранение сырых включено?

источник

16:20пожаловаться #1

Roman Sergeev in MaxPatrol SIEM & VM

640kilobyte

А правила нормализации под них есть вообще? Хранение сырых включено?

раз в export_data есть, то включено

источник

16:21пожаловаться #2

teaforparty in MaxPatrol SIEM & VM

640kilobyte

А правила нормализации под них есть вообще? Хранение сырых включено?

Есть и включено
В гуи_сдк формулы успешно отрабатывают

источник

16:22пожаловаться #3

teaforparty in MaxPatrol SIEM & VM

Ivan Yakushev

Там есть флаг normalized: true/false

Флаг false. Значит что-то скорее всего в самих формулах. Буду в эту сторону копать

источник

16:26пожаловаться #4

Ivan Yakushev in MaxPatrol SIEM & VM

teaforparty

Флаг false. Значит что-то скорее всего в самих формулах. Буду в эту сторону копать

в таком случае я бы проверил, что формула и граф загружены туда где они должны быть в 21.0

источник

16:27пожаловаться #5

Ivan Yakushev in MaxPatrol SIEM & VM

к сожалению, было так давно, что не помню в PTKB это уже или ещё нет

источник

16:28пожаловаться #6

Roman Sergeev in MaxPatrol SIEM & VM

ptkb
с 19.1 начиная

источник

16:28пожаловаться #7

Ivan Yakushev in MaxPatrol SIEM & VM

и помню где-то в тех версиях, у меня было такое, что вроде все корректно загрузилось и все зеленое, но контент не работает до перезапуска SIEM

источник

16:28пожаловаться #8

Ivan Yakushev in MaxPatrol SIEM & VM

но это из области фантастики, всего 2 раза было

источник

16:29пожаловаться #9

640kilobyte in MaxPatrol SIEM & VM

В stats файле нормализатора список формул с которыми он реально работает сейчас

источник

16:31пожаловаться #10

640kilobyte in MaxPatrol SIEM & VM

Ivan Yakushev

но это из области фантастики, всего 2 раза было

3 с коррелятором, 1 с нормализатором, 1 с обогащением. Во всех случаях ресет спасал

источник

16:34пожаловаться #11

teaforparty in MaxPatrol SIEM & VM

640kilobyte

В stats файле нормализатора список формул с которыми он реально работает сейчас

Проверю, спасибо

источник

16:35пожаловаться #12

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

источник

17:06пожаловаться #13

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

Добрый вечер!

источник

17:06пожаловаться #14

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

Это что может означать?

источник

17:06пожаловаться #15

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

Места предостаточно

источник

17:06пожаловаться #16

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

Как я понял такое выскакивает когда пошёл прирост событий с 200 до 1200 после перезагрузки

источник

17:15пожаловаться #17

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

Если моя гипотеза верна отпишитесь что согласны, иначе нужно искать проблему

источник

17:16пожаловаться #18

Eugene Matveev in MaxPatrol SIEM & VM

по данным эластика, дисковая подсистема сильно нагружена

источник

17:19пожаловаться #19

Eugene Matveev in MaxPatrol SIEM & VM

функционально продукт работает, но есть симптомы того, что стенд перегружен

источник

17:19пожаловаться #20