Size: a a a

MaxPatrol SIEM & VM

2021 August 08

MH

Mohammed Houssani in MaxPatrol SIEM & VM
источник
2021 August 09

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM
Mohammed
1. Stop service Assets.Processing
2. Connect to PostgreSQL and use PGadmin
3. Backup DB maxpatrol_assets_processing_master_data
4. Run script
update __masterdata_mapped_sequence_registry mdpsr
set
 current_max_value=(
   select
     max(mmr.internal_id)
   from __masterdata_mapped_registry mmr
   where
     mmr.aggrigate_name=mdpsr.sequence_name
 )
where mdpsr.sequence_name='ProductDimension'
5. Start Assets.Processing and wait until it starts
5. Start downloading PTKB data
источник

🎅L

🎅 Klaudiusz Lapinski... in MaxPatrol SIEM & VM
What version do you have? 24.0.xxxxx
источник

MH

Mohammed Houssani in MaxPatrol SIEM & VM
Yes 24
источник

MH

Mohammed Houssani in MaxPatrol SIEM & VM
Thank you will try
источник

m

max in MaxPatrol SIEM & VM
please ask support before trying this solution.
источник

MH

Mohammed Houssani in MaxPatrol SIEM & VM
👍
источник

K

Kir in MaxPatrol SIEM & VM
По интерфейсу, не могу найти в справочнике, а тех поддержку тоже дергать как-то не удобно. В таблицах появились шаблоны исключений (и это убер круто!) и для таблиц из КБ - есть закладка "Локальная система", в которой можно эти исключения писать. Но вот никак не пойму, правила с этой закладки перекрывают закладку Positive Technologies или дополняют её (merge)?
источник

K

Kir in MaxPatrol SIEM & VM
Ну и, в очередной раз "пригорело" от правил.
Есть такое правило Detect_LAPS_ENUM просто меня замучало срабатывать для пользователя одного. Оказалось, что бедная пользователь lapshina при попытке открыть любой файл из домашней папки просто обречена на сработку этого правила - ведь правило ищет admpwd или laps в запускаемых файлах или их параметрах ...
источник

RS

Roman Sergeev in MaxPatrol SIEM & VM
😔
источник

ВН

Всеволод Никоноров... in MaxPatrol SIEM & VM
А можно поподробнее, это тот laps, который local account password solution? В чём суть данного правила?
источник

K

Kir in MaxPatrol SIEM & VM
Из документации к пакету ATT&CK: «Получение учетных данных»
Detect_LAPS_ENUM - обнаружено одно из событий: поиск пользователей или групп пользователей службы каталогов Active Directory, обладающих правом управления паролями локальных администраторов на компьютерах домена с помощью утилиты LAPS; поиск компьютеров домена, на которых используется утилита LAPS
источник

AK

Aleksandr Koshkin in MaxPatrol SIEM & VM
если речь об этом, то слово laps в принципе в cmd не встречается, насколько я смог нагуглить
источник

AK

Aleksandr Koshkin in MaxPatrol SIEM & VM
впрочем, это не отменят того факта, что правило сломано
источник

ВН

Всеволод Никоноров... in MaxPatrol SIEM & VM
ну то есть правило считает, что гипотетический хакер будет искать группу с именем по такому шаблону, и на поисковый запрос к контролллеру домена с таким сочетанием букв в теле запроса среагирует?
источник

КК

Кирилл Кирьянов... in MaxPatrol SIEM & VM
Привет! проблема с правилом Detect_LAPS_ENUM  будет поправлена к 25 релизу. Задумка правила была ловить командлеты из AdmPwd.PS и https://github.com/leoloobeek/LAPSToolkit/blob/master/LAPSToolkit.ps1, а сейчас оно фолзит очень много на путь LAPS в стартах процесса
источник

MM

Mikhail M in MaxPatrol SIEM & VM
До 24 релиза тоже фикс донесем, будет доступен в пакете обновления контента в этом месяце
источник

K

Kir in MaxPatrol SIEM & VM
А кто-нибудь пробовал фильтровал инциденты по описанию? Теоретически там есть поле description, но на практике оно "0A000: nondeterministic collations are not supported for LIKE" :(
источник

f

fear of horror in MaxPatrol SIEM & VM
если речь идёт о фильтре в гриде, то можно match(description, "%smth%")
источник

Z

Zer🦠way in MaxPatrol SIEM & VM
😀велкоме
источник