SS
RB
Т.е. можно иметь несколько сабформул с одним названием, но разным условием в COND?
да. я даже и без COND делал, работало. Просто под какое событие попадет
Size: a a a
2021 March 15
R
Ага, работает. Спасибо большое :)
R
Я думал имя сабформулы должно быть уникальным
SS
RB
Я думал имя сабформулы должно быть уникальным
я тоже так думал сначала :)
m
RB
TEXT = '{"<"NUMBER">"?}{DATETIME} {event_src.hostname=HOSTNAME} {WORD}{"["NUMBER"]"?}: {$json = REST}'
subformula '1'
...
endsubformula
subformula '2'
...
endsubformula
—————————
subformula '1'
...
endsubformula
subformula '2'
...
endsubformula
—————————
осторожнее только с такими общими формулами - запросто можно получить конфликт с какими-то другими коробочными формулами для событий, которые попадают под шаблон
'{"<"NUMBER">"?}{DATETIME} {event_src.hostname=HOSTNAME} {WORD}{"["NUMBER"]"?}:
'{"<"NUMBER">"?}{DATETIME} {event_src.hostname=HOSTNAME} {WORD}{"["NUMBER"]"?}:
R
Тоже об этом подумал, поэтому решил спросить
L
Привет коллеги, есть ли у кого-то актуальная база maxmind? С детализацией до компании
Есть ли у кого-то ?
m
лучше писать маскимально узкие шаблоны. Т.е. если нам не WORD. а вполне корректная фиксировананя строка - то ее и писать
R
Я просто не вижу как его описать... Не используя сабформулу? Keyvalue?
GD
так, уточнение поступило
23.0.3539
23.0.3539
R
Там имя сервера (их несколько) и имя... Блейда, наверное, тоже несколько
e
Есть ли у кого-то ?
В ЛС.
Кстати, пробовали прикручивать к СИЕМ различные блэк листы с IP (не feeds с IoC), например, с datacenters (да список старенький, но и срок жизни IP в DC большой)?
Кстати, пробовали прикручивать к СИЕМ различные блэк листы с IP (не feeds с IoC), например, с datacenters (да список старенький, но и срок жизни IP в DC большой)?
Z
В ЛС.
Кстати, пробовали прикручивать к СИЕМ различные блэк листы с IP (не feeds с IoC), например, с datacenters (да список старенький, но и срок жизни IP в DC большой)?
Кстати, пробовали прикручивать к СИЕМ различные блэк листы с IP (не feeds с IoC), например, с datacenters (да список старенький, но и срок жизни IP в DC большой)?
а мне скинешь?)))
M
Добрый день, коллеги. Подскажите пожалуйста, где в документации можно явно найти требования к учетной записи MP для сбора событий?
M
Конкретно интересует, где указано что учетка должна обладать особыми правами и какими.
L
В ЛС.
Кстати, пробовали прикручивать к СИЕМ различные блэк листы с IP (не feeds с IoC), например, с datacenters (да список старенький, но и срок жизни IP в DC большой)?
Кстати, пробовали прикручивать к СИЕМ различные блэк листы с IP (не feeds с IoC), например, с datacenters (да список старенький, но и срок жизни IP в DC большой)?
Спасибо огромное !
К
Добрый день, коллеги. Подскажите пожалуйста, где в документации можно явно найти требования к учетной записи MP для сбора событий?
Reference Guide?
SR
Добрый день, коллеги. Подскажите пожалуйста, где в документации можно явно найти требования к учетной записи MP для сбора событий?
Например, для Windows
NA
@srublev Завез в mpsiemlib создание/удаление групп, наборов установки и правил корр при работе с PT KB.
https://github.com/feedb/MPSiem_addons/tree/master/mpsiemlib
https://github.com/feedb/MPSiem_addons/tree/master/mpsiemlib
2021 March 16
N
Результаты анализа трафика в 41 компании и новые возможности PT NAD
Приходите на вебинар, чтобы:
- узнать, какие угрозы ИБ наиболее распространенные в корпоративных сетях,
- увидеть новые возможности PT NAD.
С помощью PT NAD 10.1 пользователи могут выявлять атаки с помощью новых модулей аналитики, собирать актуальную информацию о сетевых узлах и централизованно узнавать об угрозах ИБ в единой ленте. Как оно все работает, покажем в этот четверг.
Запись на вебинар по ссылке: https://ptsecurity.zoom.us/webinar/register/3816154601810/WN_hXXVRQLtRMqkLM2hiArHSA
Приходите на вебинар, чтобы:
- узнать, какие угрозы ИБ наиболее распространенные в корпоративных сетях,
- увидеть новые возможности PT NAD.
С помощью PT NAD 10.1 пользователи могут выявлять атаки с помощью новых модулей аналитики, собирать актуальную информацию о сетевых узлах и централизованно узнавать об угрозах ИБ в единой ленте. Как оно все работает, покажем в этот четверг.
Запись на вебинар по ссылке: https://ptsecurity.zoom.us/webinar/register/3816154601810/WN_hXXVRQLtRMqkLM2hiArHSA