E
Коллеги, требования к дебиану не поменялись? 9.4-9.11?
да
Коллеги все привет!
пишу правило обогащения, пытаюсь заполнить табличный список(для правил обогащения), но у меня ничего не получается.
Вот пример правила:
Size: a a a
2019 December 17
2019 December 18
B
B
event Test_events:
filter {
id == "Test_event"
}
enrichment Test
enrich Test_events:
insert_into test {
column::A = "1"
column::B = "2"
}
filter {
id == "Test_event"
}
enrichment Test
enrich Test_events:
insert_into test {
column::A = "1"
column::B = "2"
}
B
подскажите занющие люди, где у меня ошибка?
Z
Column::a
Z
Тут ошибка
B
и так и так делал, валидацию проходит, результата нет
Z
insert_into Incidents {
rule = correlation_name
host = lower($host)
user_id = lower($user_id)
specific_value = lower($specific_value)
user_name = subject.name
user_domain = subject.domain
}
rule = correlation_name
host = lower($host)
user_id = lower($user_id)
specific_value = lower($specific_value)
user_name = subject.name
user_domain = subject.domain
}
Z
вот пример из коробочного правила обогащения
B
без указания column::? а как же инструкция?
B
Positive Technologies
MaxPatrol SIEM
Версия 21.0
Руководство разработчика
страница 116
insert_into Tabular_List_EnrichmentRule {
column::IP = dst.ip
column::Port = dst.port
column::Status = status
}
MaxPatrol SIEM
Версия 21.0
Руководство разработчика
страница 116
insert_into Tabular_List_EnrichmentRule {
column::IP = dst.ip
column::Port = dst.port
column::Status = status
}
Z
🤣да хз
Z
Barmaley
без указания column::? а как же инструкция?
посмотрите примеры
B
insert_into Incidents {
rule = correlation_name
host = lower($host)
user_id = lower($user_id)
specific_value = lower($specific_value)
user_name = subject.name
user_domain = subject.domain
}
rule = correlation_name
host = lower($host)
user_id = lower($user_id)
specific_value = lower($specific_value)
user_name = subject.name
user_domain = subject.domain
}
нет результата...
Z
Что то вы делаете не так....
Z
Вы добавляете обогащением в табличный список чтобы потом использовать его в другом обогащении?
B
Вы добавляете обогащением в табличный список чтобы потом использовать его в другом обогащении?
да
Z
;) вы страшный человек
Z
Сейчас дойду до рабочего места и проверю у себя