m
может проще сэмулировать какие-то события?
Size: a a a
2019 December 17
v
пока за весь день новых событий в этих журналах не появилось, я планирую перезапустить задачу, собрав старые логи и, после сбора, уже запустить как есть сейчас, на реакцию только новых событий.
v
количество событий в этих журналах невелико, так что риски задвоения несущественны
m
а задача по этим логам отдельная или общая с остальными журналами? настройки-то будут общие дял всей задачи.
m
Думаю, что лучше сделать отдельную задачу для сбора исторических (можно копию имеющейся) и выставить в ней
собирать только новые = false
считать историческими = true
собирать только новые = false
считать историческими = true
v
max
а задача по этим логам отдельная или общая с остальными журналами? настройки-то будут общие дял всей задачи.
Нет, тут я как раз сделал о дельно задачу только для сбора журналов dhcp-сервера
v
max
Думаю, что лучше сделать отдельную задачу для сбора исторических (можно копию имеющейся) и выставить в ней
собирать только новые = false
считать историческими = true
собирать только новые = false
считать историческими = true
Сделал, судя по логам события передались, но... их опять нет в сиеме
v
Это же значит что всё события передались и новых нет, верно?
c
Наверное просто не нормализовались, в сырых точно нет?
v
есть, 2 штуки))) это чуть меньше всего количества
искал на большом промежутке времени (один год) с фильтром historical = true
искал на большом промежутке времени (один год) с фильтром historical = true
v
не нашел ничего..
c
эээ, а как ты искал?
v
эээ, а как ты искал?
Искал в событиях по индификатору задачи
v
искал по historical = true
v
так как я собрал их с этой пометкой в профиле
v
есть подозрение, что я где-то косячу))
c
Искал в событиях по индификатору задачи
В события попадает только то, что нормальзуется
c
Надо смотреть сырые события
v
В события попадает только то, что нормальзуется
именно, но в мониторинге SIEM во вкладке нормализатора, нет расхождений в количестве сырых и нормализованых
v
хотя... сейчас посмотрю, возможно на мелком масштабе не видно