Windows event forwarding поищи. Можно

это все же не про копирование .evr(x) и сбор из файла.

технически можно, но сбор все равно будет не из файла а через  eventlog api
подключаем его на машине так, чтобы он был виден через api, собираем указав соответствующее имя журнала.
Но, возможно, стоит исходную задачу озвучить, возможно для нее найдется более хорошее решение.

Задача, собирать логи. Как я понял нужно устанавливать агент MP, для отправки логов(чего нельзя сделать )

зачем?

Нет, не нужно агента ставить, но нужно агенту соответствующие доступы выдать до машины с журналом

нельзя ставить агент на целвой хост? Этого не требуется, сбор идет по сети
Нельзя отправлять?  Сбор событий из изолированных сегментов не решает задачу?

Спасибо, за информацию. Принято

писать-да. но правила подкапотные

[Пакет экспертизы]🕵️‍♂️

Скомпрометировав межсетевые экраны, маршрутизаторы или коммутаторы, злоумышленники могут быстро развить атаку внутри сети и добраться до своих целей.

Чтобы такого не произошло, в MaxPatrol SIEM загружены правила обнаружения признаков компрометации межсетевых экранов Cisco ASA и Check Point с операционной системой GAiA, маршрутизаторов и коммутаторов MikroTik и Cisco с операционной системой IOS.

Для выявления некоторых признаков компрометации понадобится система анализа трафика PT NAD.

👉🏻 Подробнее: https://www.ptsecurity.com/ru-ru/about/news/maxpatrol-siem-vidit-eshche-bolshe-incidentov-svyazannyh-s-setevymi-ustrojstvami/

Доброго дня, после пилота PT NAD, для отключения его агента из SIEM удалил настройки которые прописывал согласно инструкции при подключение, но агент  NAD все равно "светится." куда "копать"?

никуда копать не надо, вот сверху кнопка "удалить"

Спасибо, уже туплю😂 пора в отпуск...

ну и службу агента на NAD в disable

чтоб не маячила

Спасибо, понял.

сколько лет люди ждали эту важнейшую функцию :)

Добрый день! Подскажите, как можно при нормализации удалить экранирование символов?

а какое именно экранирование нужно убрать?
есть прмиер события?

\"Event\":{\"xmlns\":\"http://schemas.microsoft.com/win/2004/08/events/event\",\"System\":{\"Provider\":{\"Name\":\"Microsoft-Windows-Security-Auditing\",