Телеграмм чат группы MPSIEMChat страница 1330

Добрый день!
Подскажите, пожалуйста, как PDQL-запросом (в событиях) можно отсечь значения ipv6 из полей типа IP-address?

PS
match не работает по полям типа IP-address
in_subnet(src.ip, "0.0.0.0/0") - возвращает ошибку "Ошибка валидации: Заданный аргумент находится вне диапазона допустимых значений. Имя параметра: maskPrefix"

not (dst.ip contains ":") тоже работает

источник

14:21пожаловаться #4

max in MaxPatrol SIEM & VM

int 0x80

not (dst.ip contains ":") тоже работает

Не сработает в актуальных версиях, где *.ip имеет тип ipaddress, а не string

источник

14:26пожаловаться #5

int 0x80 in MaxPatrol SIEM & VM

max

Не сработает в актуальных версиях, где *.ip имеет тип ipaddress, а не string

хм, и правда. почему-то казалось, что продолжает работать

источник

14:28пожаловаться #6

Roman Sergeev in MaxPatrol SIEM & VM

max

Не сработает в актуальных версиях, где *.ip имеет тип ipaddress, а не string

Это больше от версии ES зависит

источник

14:48пожаловаться #7

Nikolai Arefiev in MaxPatrol SIEM & VM

max Спасибо за помощь с иерархиями
SDK теперь умеет работать и в иерархических инсталляциях

https://github.com/feedb/MPSiem_addons/blob/master/mpsiemlib/CHANGELOG.md#v034

GitHub

feedb/MPSiem_addons

реп полезностей для PT MaxPatrol SIEM. Contribute to feedb/MPSiem_addons development by creating an account on GitHub.

источник

18:55пожаловаться #8

2021 March 04

Serg Feodor in MaxPatrol SIEM & VM

Доброго дня, коллеги!
Вопрос тем, кто стал счастливым обладателем 24 версии: проблема склеивания активов преодолена?

источник

09:58пожаловаться #9

max in MaxPatrol SIEM & VM

Serg Feodor

а какая именно проблема со склеиванием должна быть преодолена?

источник

10:02пожаловаться #10

Serg Feodor in MaxPatrol SIEM & VM

max

а какая именно проблема со склеиванием должна быть преодолена?

Например, появилась настройка критериев, по которым SIEM определяет идентичность активов при аудите. Допустим есть две VM(одна клонирована из другой), которые имеют одинаковое значение в /etc/machine-id и я бы хотел чтобы это значение не учитывалось при аудите

источник

13:31пожаловаться #11

Zer🦠way in MaxPatrol SIEM & VM

у кого нибудь после обновления на 23 версии начинались проблемы с очередью storageq ?

источник

13:45пожаловаться #12

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM

Zer🦠way

у кого нибудь после обновления на 23 версии начинались проблемы с очередью storageq ?

У заказчика Elastic сломался:( но тикет проблему решил

источник