Возможно, вы не импортировали обновление коробочных правил в свою ветку? И падают коробочные правила предыдущего релиза

На всякий случай, рекомендуемая последовательность обновления:
1. Обновить все бинарные компоненты из инсталлятора
2. Коробочный контент обновится в базе SIEM Content(так pt content называется с 21.1)
3. Импортировать обновление коробочный правил в Editable(импорт ревизий на вкладке Базы данных)
4. Переключить SDK для валидации на 21.1
5. Провалидировать все правила(ваши + коробочные)
6. Исправить проблемы найденные новым SDK
7. Установить обновление системных правил + ваши в SIEM

Где пункт застрелиться?;)

Тема костылей раскрыта, позже продолжу этот изврат

Он не относится к числу рекомендованных)

а почему в МП юзаются разные версии sdk для системного контента и для пользовательского?

В KB при валидации всех правил используется выбранный «sdk для валидации». «SDK системного контента» - это справочная информация, каким sdk проверялись системные правила перед публикацией

Ну как, получилось?

Я уехал домой, продолжение следует..

кто нибудь собирает сислог с vipnet ids ?

Да, есть такой грех...

сием тяжело их ест?

не совсем понял....

правила нормализации написаны позитивом, жрет все что дают

по нагрузке как? сравнивали как нагружает сием?

особой нагрузги вообще не заметил

большой поток?

с учетом того что ViPNet IDS вообще генератор бреда, пото не большой

😀зачем вы так снорт обижаете

я понимаю что правда может ранить...

та не, этого бреда у меня тоже очень много и поток большой, но вот среди этого бреда есть неплохие штуки