Но, оно будет требовать oauthlib, насколько помню с этим могут быть проблемы в сборке питона SIEM`а.

Не заведется siem. Эластик не  будет работать

если найдется pure python реализация - не будет (ок, не должно быть )

https://github.com/microsoftgraph/python-security-rest-sample и https://github.com/microsoftgraph/python-sample-auth => тут подробнее можно посмотреть

Возможно. Демо SIEM у меня был помощнее на 4х Xeon, 32Gb ОЗУ и обычных SATA6 HDD в RAID 10  ~300Gb, Win SRV 2016. Все лабы при подготовке к тестам делал на нем.

32 ок, да

ну вот конкретно  этим могут быть проблемы из-за gevent/eventlet/etc
Но можно ж обойтись и без них для работы с REST

Наверное. Это просто примеры от MS

Это, кстати, в общем по Security Center. Если нужна только Azure AD (например нет подписок соответствующих, только база Azure AD), то можно через хаб - https://docs.microsoft.com/ru-ru/azure/active-directory/reports-monitoring/tutorial-azure-monitor-stream-logs-to-event-hub

@tolstuun @Natalia_june @vbengin

Коллеги, а кто как борется с "Suspicious_process_execution_sequence" и chrome.exe который вызывает плагин для банка, например вот таким образом: "C:\Windows\system32\cmd.exe /d /c "C:\Users\buh04\AppData\Roaming\SignalCOM\BCO System Cryptographic Plugin\FireWyrmNativeMessageHost.exe" chrome-extension://fahheakdhoeoigmafejkehdoeikpgdfp/ --parent-window=0 < \\.\pipe\chrome.nativeMessaging.in.2cc1f378b05051e2 > \\.\pipe\chrome.nativeMessaging.out.2cc1f378b05051e2"?

Такое в исключения просто так не занесешь, а разрешать запускать хрому все подряд очень не хочется.

Ад какой

Cmd чтобы вызвать бинарь 😀

Тут только регуляркой разрешать этот конкретный плагин

Ну честно говоря у меня есть даже еще более альтернативная реальность, например
iexplorer.exe который вызывает "C:\Windows\system32\rundll32.exe C:\Windows\system32\inetcpl.cpl,ClearMyTracksByProcess Flags:142607307 WinX:0 WinY:0 IEFrame:0000000000000000"

+

Просто не ужели никто не сталкивался с таким? Правило мало популярное?

Оно очень важное

Просто вот такие костыли от разрабов дбо это….

А получается его переписывать надо